주요 콘텐츠로 건너뛰기

[다시보기/토론자료] 오픈넷 창립 3주년 기념

지역

[다시보기/토론자료] 오픈넷 창립 3주년 기념

익명 (미확인) | 화, 2016/06/14- 12:08

오픈넷 창립 3주년 기념

<자유, 공유, 개방의 인터넷 컨퍼런스>

2016. 05. 27 (금) 12-6시 / 벙커 1 (충정로)

 

[제1세션] IT 비정상의 정상화를 위하여

 

임정욱 센터장 | 스타트업 얼라이언스, 오픈넷 이사 (▶발제자료)

 

구태언 변호사 | 테크앤로 법률사무소 (▶토론자료)

 

황승익 대표 | 한국 NFC (▶토론자료)

 

윤필구 대표 | 빅베이슨캐피탈 (▶토론자료)

 

강인규 교수 | 미국 펜실베니아주립대 신문방송학과 – 해외이용자 사례

 

[제2세션] 인터넷 표현의 자유와 정부 후견주의

 

손지원 변호사 | 한국인터넷투명성보고팀

 

황성기 교수 | 한양대 법학전문대학원, 오픈넷 이사 (▶토론자료)

 

장근영 박사 | 한국청소년정책연구원 연구위원

 

마틴 윌리엄스 | 기자, 노스코리아테크 운영자 – 방심위의 노스코리아테크 접속차단에 대하여

 

[제3세션] 한국 경제 위기, 디지털 출구 전략은?

 

강정수 박사 | 연세대 커뮤니케이션연구소 전문연구원, 오픈넷 이사 (▶발제자료)

 

조산구 대표 | 코자자, 오픈넷 이사 (▶토론자료)

 

김건우 선임연구원 | LG경제연구원

 

* youtube 오픈넷 채널: https://www.youtube.com/channel/UC5iREOggFVsF0QnserXBwVg

시민들의 의견

댓글 달기

Plain text

  • 웹 페이지 주소 및 이메일 주소는 자동으로 링크로 전환됩니다.
  • 줄과 단락은 자동으로 분리됩니다.
  • 사용할 수 있는 HTML 태그: <a href hreflang> <em> <strong> <cite> <blockquote cite> <code> <ul type> <ol start type> <li> <dl> <dt> <dd>
이미지
무제한 수의 파일을 이 필드에 업로드할 수 있습니다.
50 MB 한계입니다.
허용된 유형: png gif jpg jpeg.
Enter the YouTube URL. Valid URL formats include: http://www.youtube.com/watch?v=1SqBdS0XkV4 and http://youtu.be/1SqBdS0XkV4.
CAPTCHA
스펨 사용자 차단 질문

스마트보안관은 사라졌지만 감시는 계속된다

 

글 | 오픈넷

 

방통위가 청소년들을 유해정보에서 구해내겠다며 청소년들의 스마트폰에 배포한 스마트보안관이라는 모바일 앱이 있다. 방통위는 2013년부터 무려 이 앱을 위해 약 30억 원의 예산을 들였고 이통3사와 한국무선인터넷산업연합회(이하 MOIBA)가 함께 개발을 했다.

스마트보안관을 실행시키면 이 앱이 계속 스마트폰에 상주해있으면서 이용자, 즉 청소년이 스마트폰을 통해 하는 모든 행동이 모두 모니터링 되는 방식으로 작동한다. 주요 기능은 아래와 같다.

  • 청소년에게 유해하다고 판단된 정보에 접근하는 것을 원천적으로 차단한다.
  • 부모에게 청소년 자녀의 스마트폰 일평균 이용시간, 주 이용시간대, 주 이용정보 카테고리 등의 정보를 제공한다.
  • 부모가 청소년 자녀의 스마트폰 이용을 통제한다. (시간별, 앱별 등)
  • 스마트폰에 설치된 스마트보안관을 청소년이 임의로 삭제할 수 없게 한다.

스마트보안관 안내 배너

주요 기능만 봐도 애정이 과한 부모 세대가 청소년 세대를 스토킹하고 일거수 일투족을 감시하는 등 적극적으로 사생활 침해를 하는 느낌이 든다. 놀랍게도 방통위가 2015년 4월 16일부터 시행한 “전기통신사업법 시행령” 일부 개정령에 의하면 청소년에 판매하는 스마트폰에는 유해매체물을 차단할 수 있는 앱을 반드시 설치해야 했다. 이 법률상 의무를 충족할 수 있는 여러 앱이 있지만 방통위는 자신들이 개발한 스마트보안관 설치를 은근히 장려했고 이에 따라 아래와 같이 수십만명의 청소년의 스마트폰에 깔리게 되었다.

참고로 2015년 7월 이통사별 스마트보안관을 설치한 수는 다음과 같다.

  • SK텔레콤 – 57,217건
  • KT – 202,041건
  • LG유플러스 – 120,709건

 

심각한 보안 문제, 7개월 만에 서비스 중단

결론부터 말하면 2015년 11월 1일 방통위는 스마트보안관 앱·서비스를 중단한다고 발표했다. 실제로 스마트보안관 앱은 구글 플레이 스토어에서 삭제됐다. 방통위가 스마트보안관 서비스를 중단한 건 의무 사용을 강요한 이 서비스에 심각한 보안 문제를 끝내 해결하지 못했기 때문이라는 의견이 있다.

스마트보안관의 심각한 보안 결함을 발견한 것은 토론토 대학교 뭉크스쿨 글로벌상황연구소 산하 시티즌랩이다. 시티즌랩은 2015년 9월 20일 “우리의 아이들은 안전한가? 청소년들을 디지털 위험에 노출시키는 한국의 스마트보안관 앱”이라는 보고서를 공개했다. (참고: 관련 오픈넷 보도자료)

"우리의 아이들은 안전한가? 청소년들을 디지털 위험에 노출시키는 한국의 스마트보안관 앱" 보고서

이 보고서에는 스마트보안관의 프라이버시 보호 정도 및 보안성에 대한 독립적인 두 건의 감사 결과가 담겨있다. 감사는 보안감사 전문 회사인 큐어53(Cure53)과 함께 진행이 됐는데, 연구진은 스마트보안관[1]을 이용하는 청소년과 부모의 프라이버시와 보안을 위헙하는 26건의 취약점이 있다고 밝혔다. 이 보안 취약점들을 이용하면 스마트보안관 계정을 무력화시키는 것은 물론이고 데이터 변조, 개인정보 절도 등 다양한 공격에 당할 수 있다는 것이다.

보고서에서 밝힌 문제점들을 요약하면 다음과 같다.

  • 인증 문제: 정상적인 확인절차나 암호 없이도 계정의 등록과 관리가 가능한 문제점 존재
  • 인프라 문제: 서버는 구식 프로그램을 이용하고 있고, 보안조치와 암호화가 업계 표준으로 구현되지 않음. 무작위 대입 공격에 대한 대책 없음
  • 법적·정책적 함의: 스마트보안관의 설계 수준이 취약해서 MOIBA의 스마트보안관 약관과 개인정보정책에 맞지 않음. 또한 스마트보안관의 기능은 전기통신사업법령의 내용을 넘어서 프라이버시를 침해함

시티즌랩은 9월 20일 보고서를 공개하기 전 MOIBA에 이 내용을 공유하고 문제를 수정하도록 45일을 기다렸고 일부 취약점을 보완했다고 답변을 했으나 전체 취약점을 해결했는지 답변이 없어 보고서를 공개했다고 한다.

시티즌랩은 그후 MOIBA가 관련 개선을 하였는지 확인하기 위해 2015년 11월 1일 2차 감사를 한 결과를 발표했다. (참고: 관련 오픈넷 보도자료) 2차 감사는 1차 감사 때보다 보완이 됐다고 주장하는 최신 버전을 대상으로 했는데[2] 일부 수정·보완이 이루어졌지만, 여전히 아래와 같은 심각한 문제점들이 남아있다고 했다.

  • 공격자가 청소년의 휴대폰 번호를 알고 있다면 청소년의 생년월일, 휴대폰에 설치된 모든 앱의 목록, 모든 차단 규칙을 취득할 수 있다.
  • 공격자는 여전히 청소년의 휴대폰의 차단 규칙이나 설정을 마음대로 변경할 수 있기 때문에 청소년이 휴대폰을 사용하지 못하도록 잠글 수 있다.
  • 공격자는 여전히 스마트보안관 부모용의 비밀번호와 청소년의 계정과 연계된 부모의 휴대폰 번호를 찾아낼 수 있다.

이에 시티즌랩은 스마트보안관을 앱스토어에서 즉시 내리고, 이용자들은 사용을 즉시 중단할 것을 권고했다. 즉, 방통위는 시티즌랩이 중단 권고를 한 당일 바로 서비스를 중단한 것이다.

조선닷컴 기사에 따르면 방통위는 스마트보안관 중단 조치에 관해 “지난달 모든 이통사가 음란물 차단 앱을 무료로 보급하기 시작했기 때문에 플레이스토어에서 삭제했을 뿐”이라며 “문제와 관계없이 예정된 일정에 따른 조치”라고 밝혔다.

여기서 말한 이통사의 차단 앱이란 SK텔레콤의 “T청소년유해차단”, KT의 “올레 자녀폰 안심”, LG유플러스의 “U+ 자녀폰지킴이” 등을 말하는데, 이것들은 여전히 플레이 스토어에서 다운로드를 받아 실행할 수 있다.

 

계속되는 프라이버시 무시·자녀 감시들

따라서 문제는 여전히 남아있다. 정부가 아니더라도 이통사를 비롯한 여러 회사들이 유사한 기능의 앱을 계속해서 배포하고 서비스하고 있다. 이런 위험한 앱들이 시중에 나와 있는 가장 근본적인 이유는 일명 “청소년 스마트폰 감시법”이 이런 앱들의 설치를 강제하고 있기 때문이다.

개정된 전기통신사업법에는 이통사가 청소년과 계약을 할 경우 청소년 유해매체물과 음란정보를 차단할 수 있는 수단을 제공해야 한다고 되어 있고, 세부 방법·절차는 시행령에서 정하도록 되어 있다.

전기통신사업법 시행령 제37조의8 제2항

제1항에 따라 차단수단을 제공하는 경우에는 다음 각 호의 절차에 따른다.

1. 계약 체결 시

  • 가. 청소년 및 법정대리인에 대한 차단수단의 종류와 내용 등의 고지
  • 나. 차단수단의 설치 여부 확인

2. 계약 체결 후: 차단수단이 삭제되거나 차단수단이 15일 이상 작동하지 아니할 경우 매월 법정대리인에 대한 그 사실의 통지

(참고로 여기서 차단수단은 청소년유해정보차단 소프트웨어로서 시행령은 정부 배포 “스마트보안관” 등 앱의 형태로 되어 있는 수단을 전제하고 있다)

법에 이렇게 명시되어 있는 경우 정부가 아니더라도 누군가 반드시 청소년에게 유해정보를 차단하기 위한 서비스를 만들어야 한다. 기본적으로 이를 위해서는 많은 정보에 접근을 하고 모든 정보를 들여다봐야 하는데, 그 과정에서 청소년은 부모와 협상할 기회도 없이 부모의 상시감시 아래 놓이게 되는 프라이버시 침해가 발생하는 것은 자명하다.

또 법은 차단서비스만 제공하라고 했지만 차단서비스가 상시 작동하고 있는지 확인하기 위해서는 스마트폰 기기 전체에 대한 상시감시가 필요하고 이를 구현하기 위해서는 스마트보안관처럼 수십 억의 돈을 들여도 이용자들을 오히려 각종 보안 위협에 노출될 가능성도 여전하다.

또한 이 시행령은 이통사가 유해정보 차단 앱이 설치되었는지 확인할 수 있는 방법에 대해 명시하지 않고 있다. 그리고, 이통사를 통해 구입하지 않고, 스마트폰을 직접 구매하는 이용자나 외국산 스마트폰을 이용하는 이용자의 경우는 확인조차 할 수 없는 한계점도 명확하다.

심지어 성인인 부모조차 이러한 발상과 서비스를 거부할 방법이 없다는 것도 문제다. 앱의 품질이 나빠 이용을 거부하거나 자녀의 프라이버시를 지켜주기 위해 설치를 하지 않을 수도 있는데, 시행령은 부모가 당연히 동의할 것이라고 전제하고 있다. 이 앱은 부모가 원치 않아도 자녀의 폰에 설치되어 부모와 자녀를 감시자와 피감시자의 관계로 몰아넣어 스마트폰 이용에 관해 교육적인 대화를 할 수 있는 기회를 박탈한다.

 

감시와 통제로 교육? 발상 자체가 문제

정부는 프라이버시를 포함한 기본권을 침범할 소지가 높더라도 청소년의 모든 스마트폰 이용 내역을 감시하는 법안을 마련하고, 수십억 원의 예산을 들여 보안성이 매우 떨어지는 앱을 직접 개발해 배포했다. 불행 중 다행으로 지금은 직접 앱을 배포하는 것은 포기했지만, “청소년 스마트폰 감시법” 때문에 여전히 이런 강제 모니터링 앱을 설치해야 하는 수많은 청소년들이 존재한다.

정부는 여전히 청소년의 문자메시지, 채팅 메시지, 검색어 등을 감시하는 서비스를 운영 중이다.

정부는 여전히 청소년의 문자메시지, 채팅 메시지, 검색어 등을 감시하는 서비스를 운영 중이다.

참고로 지금도 서비스 중인 스마트안심드림은 예를 들어, “찍힐”, “주글”, “셔틀”, “찐따”, “빠굴” 등등 비속어 및 변종 그리고 “본드” “죽었”, “스트레스” “쌍커플”, “외모”, “월경”, “성범죄” 등의 주의어 등의 수천개의 단어들 목록에 포함된 단어가 이용되면 부모에게 곧바로 통지가 된다. 이용실적이 2015년 3월 현재 수천명 정도로 높지는 않다는 보도가 있었지만 이 청소년들에 대해서는 이미 통지가 수십만건 이루어지고 있다고 하며 이들은 고도의 감시상태 속에서 생활해야 한다.

 

정부는 통제와 감시로 문제가 해결된다는 생각을 버려야 한다. 시민들은 학교와 가정에서 교육해야 할 영역을 국가가 법으로 학교·부모의 감시를 강제하거나 이를 위해 개인용 통신기기에 특정 소프트웨어의 장착을 요구하는 것의 위험성에 대해 다시 한번 심각하게 생각해 봐야 할 때다.

————————————————–

[1] 안드로이드용 스마트보안관 최신버전(1.7.5 이하)

[2] 안드로이드용 스마트보안관 1.7.7

 

* 위 글은 슬로우뉴스에도 동시 게재하고 있습니다. (2015. 11. 16.)

월, 2015/11/16- 18:44
644
0

오픈넷, <이석우 전 다음카카오 대표 기소와 정보매개자 책임> 포럼 개최

일시: 2015년 12월 14일 (월) 저녁 7시 30분 - 9시 30분

장소: 스타트업 얼라이언스 앤스페이스

 

오픈넷이 국회 이종걸, 송호창 의원실과 함께 오는 12월 14일(월), <이석우 전 다음카카오 대표 기소와 정보매개자 책임>을 주제로 포럼을 개최합니다.

지난 11월 4일, 이석우 전 다음카카오 대표가 아동·청소년의 성보호에 관한 법률(아청법) 위반 혐의로 기소되었습니다. 검찰은 기소 사유로 이 전 대표가 카카오 대표로 재직 당시 온라인 서비스 제공자로서 아동음란물을 발견하기 위한 기술적 조치를 취하지 않아 지난해 6월부터 8월까지 ‘카카오그룹’에서 약 7,115명에게 아동음란물이 배포됐다고 밝혔습니다.

아청법 제17조는 온라인 서비스 제공자가 아동·청소년이용음란물을 발견하거나 삭제하기 위한 기술적 조치를 취하지 아니한 경우 3년 이하의 징역 또는 2천만원 이하의 벌금에 처한다고 하고 있습니다. 해당 법 위반 혐의로 인터넷 사업자가 기소된 것은 아청법이 제정된 이래 처음이자, 아동음란물의 제작자 또는 유포자가 아닌 단순한 정보매개자의 직접적인 형사책임을 인정한 전 세계적으로도 유래를 찾아보기 어려운 사건입니다.

아동음란물은 절대적으로 금지되어야 하며, 아동음란물의 제작자나 유포자는 당연히 처벌받아야 할 것입니다. 하지만 아동음란물이 유통되는 플랫폼을 제공한 온라인 서비스 제공자에게 필터링 의무를 지우고 의무 위반시 형사처벌을 하는 법의 타당성에 대해서는 논란이 있습니다.

이번 오픈넷 포럼에서는 정보매개자의 필터링 의무와 관련된 국내외의 논의에 대해 알아보고, 필터링 의무 위반으로 처벌을 하는 것은 형사정책상 어떠한 의미가 있는지, 필터링 의무가 실제로 어떻게 이행되고 있는지, 이러한 의무의 존재가 온라인 서비스 제공자, 나아가 인터넷에 어떤 영향을 미치고 있는지에 대해 논의해보고자 합니다.

본 토론회는 무료로 참가하실 수 있으며, 참가신청은 아래 링크를 통해 하실 수 있습니다. 많은 분들의 관심과 참여를 바랍니다.

- 참가신청: http://opennet.or.kr/10613

 

<행사 안내>

[오픈넷 포럼] 이석우 전 다음카카오 대표 기소와 정보매개자 책임
- 아청법상 온라인 서비스 제공자 아동음란물 필터링 의무의 타당성

주최: 국회의원 이종걸, 국회의원 송호창, 사단법인 오픈넷
일시: 2015년 12월 14일 (월) 저녁 7시 30분 - 9시 30분
장소: 스타트업 얼라이언스 앤스페이스 (서울시 강남구 테헤란로 423, 현대타워 7층/선릉역 10번 출구에서 직진, 3분거리)
- 지도: http://startupall.kr/location/

발제 1: 김가연 변호사(오픈넷) – “아청법상 필터링 의무와 정보매개자 책임”
발제 2: 남희섭 이사(오픈넷) – “필터링 의무 해외 사례”

토론:
전현욱 박사(형사정책연구원)
류한욱 팀장(주식회사 이지원인터넷서비스)
김태하 팀장(주식회사 뮤레카)
여성가족부/방송통신심의위원회(협의중)

 

문의: 오픈넷 사무국 02-581-1643, master@opennet.or.kr

수, 2015/12/09- 10:47
431
0

지난 19대에 발의되었던 전자서명법 개정안 주요내용입니다.

공인인증서 문제의 완전한 해결을 위해 20대 국회에 재발의 요청할 예정입니다.

 

http://pokr.kr/bill/1905145


제안이유

현행법은 ‘전자서명’과 ‘공인전자서명’을 차별적으로 규정하면서, 공인전자서명의 경우에는 당사자간에 그것을 사용할지 여부에 관한 합의가 없더라도 육필 서명 등과 같은 법적 효력을 부여하고 있으나 전자거래는 당사자 간의 자유로운 의사에 기반하는 것이므로 계약 등 거래 당사자들이 전자서명을 사용할지 말지를 자유롭게 결정하는 것이 바람직함. 일방은 전자서명을 사용하기를 원하지 않는데, 타방이 일방적으로 전자서명을 강요하는 상황은 계약 자유의 대원칙에 어긋나고, 거래당사자들이 그 거래를 위하여 적절한 인증 방법을 상호 결정하는 것을 보장하는 한미 FTA (대한민국과 미합중국 간의 자유무역협정) 제15.4조와도 조화되기 어려움.
또한 공개키 기반구조(Public Key Infrastructure)에 기반한 공인인증 제도는 전세계적으로 형성된 신뢰 체계와 분리되어 국가 단위로 운용될 경우 인터넷상에서 작동할 수 없을 뿐 아니라, 그러한 국지적 인증제도는 한국의 인터넷 환경 전체를 고립시키고, 국내 IT 산업의 세계 시장 진출 및 국제경쟁력 확보에 부담으로 작용할 위험을 안고 있음.
따라서 당사자가 그들의 거래에 전자서명을 사용하기로 자발적으로 합의할 경우 그 합의를 존중하면 충분하며 공인전자서명을 전자서명과 구별하여 별도로 규정할 필요는 없음. 아울러 국내 인증기관들의 국제 시장 진출 및 국제 경쟁력 확보를 위해서는 그 업무 수행의 기술적·관리적 측면을 국내뿐 아니라 국외에서도 인정받을 수 있는 방식으로 ‘공인인증제도’를 개선·보완할 필요가 있음.

주요내용

가. 전자서명은 당사자 간의 합의에 기하여 사용될 수 있음을 규정하고 ‘전자서명’과 ‘공인전자서명’을 구별하지 않음(안 제3조).
나. 정부가 국내에서만 인정받는 ‘공인인증기관’을 지정하는 현행 제도를 개선하여 국내의 인증기관들이 국제시장으로 진출하고 국제적으로 그 신뢰성을 인정받을 수 있도록 하는 기반을 마련함(안 제4조).
다. 미래창조과학부장관이 정하는 인증업무수행기준을 충족하는 인증기관은 차별 없이 인증서비스 시장에서 경쟁할 수 있도록 보장함(안 제4조제3항).

e-sign-reform-comparison-table-1024x723
월, 2016/05/02- 08:44
59
0

“공인” 인증 강박의 추억 떠올리는 정보보호관리체계(ISMS) 인증

- ‘NH농협’, ‘아시아나 항공’ 등 개인정보유출기업 다수가 ISMS 인증 받아 실효성도 의문

 

2015년 12월 개정되어 올해 6월 2일부터 시행중인 “개정 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 ‘정보통신망법’)”은 ISMS 인증 의무 대상을 의료기관, 학교 등 비영리기관으로 확대하고 과태료 규정을 강화했다. 하지만 ISMS 인증은 전자금융거래법 개정으로 폐지된 공인인증서 강제 사례처럼 정부가 인증한다는 “공인”이라는 꼬리표를 달고 있어 이른바 관치 보안의 폐해를 반복할 우려가 크다. 공인인증서 사용 강제의 폐해를 반면교사로 삼아 정부가 주도하여 인증 자체에 직접 관여하는 정책을 전면 수정해야 한다.

2001년 도입되어 2013년 의무화된 정보보호 관리체계(ISMS, Information Security Management System) 인증 제도는 기업(조직)이 각종 위협으로부터 주요 정보자산을 보호하기 위해 수립ㆍ관리ㆍ운영하는 종합적인 체계의 적합성에 대해 인증을 부여하는 제도로서 한국인터넷진흥원(KISA)이 관리하고 있다. 그동안은 정보통신망서비스 제공사업자(ISP), 집적정보통신시설 사업자(IDC), 그리고 정보통신서비스 제공자 등 주로ICT 기업 중에서 일정 규모(전년도 매출액 100억원 이상 또는 3개월간 일일평균 이용자 수 100만명 이상) 이상의 기업이 의무 대상이었는데, 작년 12월 정보통신망법 개정으로 세입이 1,500억 이상인 의료법상 상급종합병원 및 고등교육법상 재학생수 1만명 이상인 학교로 ISMS 인증 의무 대상이 확대된 것이다. 또한 의무 대상자 중 미인증 사업자에 대한 과태료도 현행 1000만원에서 3000만원으로 상향되었다.

관치 보안의 문제는 이미 오픈넷이 오랫동안 비판해 온 공인인증서 사례에서 여실히 드러났다. 즉, 정부가 “공인”한다는 정부 주도 인증 문제의 핵심은 민간 전문가들이 주도하는 기술이나 인증 제도의 발전을 저해한다는 점이고, 이는 실제 인증되는 내용이나 실질과 무관하게 국가가 인증한다는 취지의 “공인”이라는 어휘 자체에서 그대로 드러난다.

우선 정부가 고도의 전문성이 요구되는 ISMS 인증 제도를 제대로 운영할 수 있는지부터 의문이다. 실제로 2014년 국정감사에서 ISMS 인증을 받은 254개의 기업 중 정보유출 사고가 무려 30개 기업에서 발생하였다는 점이 드러난 바 있고, 여기에는 사회적 파장이 큰 NH농협이나 KT 등 개인정보나 개인신용정보가 다수 집적된 기업이 포함되어 있다. 불과 며칠 전에는 ISMS 인증을 받은 아시아나 항공의 웹사이트에서 이용자들의 개인정보가 무방비로 노출될 수 있는 시스템 오류가 발견되기도 했다. 날로 발전하는 정보통신 환경에서 정보보호체계 내지 보안시스템의 구축은 그 어느 때보다도 중요하지만, ISMS 인증처럼 정부가 최종 인증 권한 자체를 보유하고 운용하는 제도는 부작용이 훨씬 크다. 급변하는 보안 시장과 하루가 다르게 발전하는 기술을 정부와 보수적인 규제가 따라가거나 앞서가기를 바랄 수 없기 때문이다.

한편 금융사가 이용자에게 공인인증서 등의 사용을 강제한 경우 금융사고 발생시 금융사 면책을 용이하게 하는 문제가 있었다. 이와 같이 ISMS 인증을 받았음에도 보안 사고가 발생한 경우, 반대로 정부의 “공인”된 인증을 받았다는 사실만으로 쉽게 면책을 받게 된다면 그 피해가 고스란히 이용자에게 전가될 우려가 있다. 또한 공인인증서 커넥션 처럼 ISMS인증이 ”공인” 인증 체제를 유지하는 이상 담당 부처와 심사기관을 중심으로 하는 카르텔이 형성되어 제도를 더욱 공고히 할 우려도 지우기 어렵다.

이처럼 정부가 최종 인증 권한을 보유하고 내용 심사를 주도하는 이른바 “공인” 인증의 강제는 우리나라에만 존재하는 갈라파고스 규제로, 스타트업이나 중소기업에게는 진입장벽이 될 뿐만 아니라 국내 기업에게만 이중, 삼중의 부담을 안겨 역차별을 초래한다. 미국, 캐나다 등 IT 선진국 중에 국가가 주도하여 보안 인증을 강제하는 나라는 찾기 어려우며, 이들 국가에서는 민간 전문가들이 참여하여 국제적으로 공신력을 획득한 ISO 27001, PCI-DSS 등의 인증을 이용한다. 물론 현 정보통신망법에서 ‘국제표준 정보보호 인증’, 즉 ISO 27001을 받은 경우에는 인증 심사의 “일부”를 생략할 수 있다고 하여 부담을 덜어준 것 같아 보이나, ISMS 인증의 대체를 인정한 게 아니기 때문에 결과적으론 달라진 게 없다. 정부가 주도하는 ISMS 인증이 ISO 27001 보다 특별히 더 우수하다는 점도 밝혀진 바 없으며, 오히려 인증의 품질에 대해 지적하는 목소리도 있다.

더욱이 ISMS 인증은 통상 준비부터 인증까지 약 6개월 이상이 소요되고, 인증 신청을 위해서도 최소 2개월 이상의 운영 기간이 필요하다. 게다가 ISMS 인증 비용만으로도 최소 수천만원에서 수억원이 들어간다. 그런데 해외진출을 꿈꾸는 ICT 기업들은 국내에서만 인정되는 ISMS 인증 보다는 국제적인 보안 인증을 선호할 수밖에 없고, 결국 중복적으로 인증을 받아야 하는 것이 현실이다.

정부 주도의 “공인” 인증 강박의 추억은 공인인증서 사례에서 이미 충분히 경험하지 않았는가? 정부는 인증 권한을 민간 전문가에게 양보하고 사후적 관리자의 역할만 수행하는 민간 주도의 보안 인증 제도로의 개선을 촉구한다.

 

2016년 7월 19일

 

사단법인 오픈넷

 * 관련 논평: 개정 전자금융거래법 국회 본회의 통과를 환영하며 금융당국의 기술중립, 사후규제 원칙 구현을 촉구한다.

 

문의: 오픈넷 사무국 02-581-1643, master@opennet.or.kr

화, 2016/07/19- 11:48
538
0

구글 지도 반출, 21세기식 접근이 필요하다

글 | 허광준(오픈넷 정책실장)

 

이 글은 총 두 편입니다. 1편은 지도 반출 문제, 2편은 지도의 보안 처리 문제를 다룹니다. (필자)

  1. → 구글 지도 반출, 21세기식 접근이 필요하다
  2. 보안 처리: 구시대적 지도 검열

 

지난 6월 초 구글이 한국 지도 반출을 재신청하면서 비롯된 논란이 좀처럼 수그러들지 않는다. 정부나 구글, 국내 업체 등 이해 당사자들이 내놓는 주장이 뒤섞이며 사실관계조차 헷갈리고, 정보통신 서비스 영역을 넘어 안보나 국가 자존심까지 입길에 오르고 있다.

7월에 세계를 급속히 달군 포켓몬 고 열풍도 이러한 논란에 부채질했다. 한국이 게임 서비스 지역에서 제외된 것이 구글 지도로 뒷받침되지 않기 때문이라는 주장이 제기되었기 때문이다.

좀 더 냉정한 시각으로 바라보면 이 문제에는 몇 가지 이슈가 꼬여 있음을 알 수 있다. 이렇게 꼬인 데에는 이유가 있지만, 여하튼 이런 가닥을 차근차근 분리하고 우리가 이미 알고 있는 원칙들을 적용한다면 문제는 의외로 쉽게 풀릴 수도 있다.

다음에 실릴 글과 함께 두 차례에 걸쳐 한국 지도 정보의 국외 반출 문제, 그리고 그보다 더 근본적인 문제를 차례로 짚어 본다.

 

한국에서 지도 쓰기를 포기하는 외국인들

Danielle Conway지난 5월 19일, 오픈넷이 주최한 포럼 ‘시각장애인을 위한 저작권 혁신 조약’에서 발제를 할 사람은 미국 메인 대학교 법학교수인 다니엘 콘웨이(Danielle Conway, 사진) 박사였다. 그녀는 아주 오래전에 한국을 한 번 다녀간 적이 있을 뿐이다. 당연히 서울 지리에 깜깜하다.

숙소인 서울대 교수회관에서 포럼이 열리는 선릉역 부근 행사장까지 오는 길을 알려주어야 했다. 어떤 교통편을 이용해 올지 몰라서, 일단 지도부터 보냈다. 한국인이 흔히 쓰는 네이버나 다음 지도는 그녀에게는 무용지물이다. 영어로 표기되지 않기 때문이다. 그래서 구글 지도로 이미지를 떠서 이메일로 보냈다.

콘웨이 박사는 택시를 타고 왔다. 목적지를 못 찾아서 선릉역 부근을 뱅뱅 돌던 기사가 결국 내게 전화를 했다. 행사는 이미 시작되었고, 발제자가 40분도 더 늦는 바람에 토론자가 먼저 마이크를 잡는 일이 벌어졌다. 택시요금은 정상보다 세 배 가량 더 나왔다. 콘웨이 박사는 이렇게 요금이 비정상적으로 나왔다는 사실을 알지 못했을 것이다. 구글 지도에는 택시를 이용한 경로 서비스가 되지 않기 때문이다.

지도 서비스에 관한 한, 외국인에게 한국은 남미 원시림이나 다름없다. 8월부터 오픈넷에서 인턴쉽을 하는 미국 대학생 댄 베이티코는 서울에서 지도 쓰기를 아예 포기했다. 그가 한국을 오기 전에 거쳐왔던 대만, 네팔, 베트남에서는 겪지 않았던 일이었다.

물론 이것은 두 가지 이유로 그렇다. 국내 업체의 지도는 영어 서비스를 하지 않고, 다양한 언어 지원을 해서 국제 표준이 되다시피 한 구글 지도는 국내에서 제대로 작동하지 않기 때문이다.

그저 일부 외국인이 한국에서 길을 찾는 문제라면 그리 심각한 일이 아니라고 볼 수도 있을 것이다. 외국인이야 헤매든 말든 우리는 우리식대로 살면 된다고 할 수도 있다. 그러나 기초 지도 서비스를 근간으로 한 각종 부가 서비스 역시 제대로 이루어지지 못하고, 같은 태반에서 태어날 다양한 미래의 서비스들도 근본적으로 잉태될 수 없다는 점은 외국인이 아닌 한국인에게 문제가 아닐 수 없다.

 

국가 안보 위협하는 지도 반출 안 된다?

구글이 지도 반출을 신청한 것은 이런 사정 때문이다. 자사 서비스를 제대로 갖추기 위해서, 그리고 구글의 주장에 따르면 이를 기반으로 하여 개별 기업들이 다양한 서비스를 꽃피우도록 하는 플랫폼을 만들기 위해서 지도 정보를 내갈 필요가 있다는 것이다.

이 문제가 꼬이기 시작한 것은 단순하면서도 다분히 의도된 오해 때문이다. 즉 구글의 지도 반출에 반대하는 측이 이 문제를 국가 안보 이슈로 틀 지어버린 것이다. 이들은 ‘구글이 한국의 안보 특수성을 무시하고 보안시설이 다 드러난 지도를 국외로 가져가려 한다’고 주장한다.

그러나 이런 주장은 사실과 상당한 거리가 있다. 이와 관련한 사실관계를 정리해 보면 쉽게 알 수 있다.

  1. 구글은 현재 한국 지도를 극히 제한적으로 서비스하고 있다.
  2. 이 지도는 SK플래닛(모회사는 SK텔레콤)이 소유한 것이며, 구글은 비용을 지불하고 이 지도를 사용하고 있다.
  3. 즉, 구글은 자체로 한국 지도를 돌리는 게 아니라 SK플래닛에서 돌아가는 지도를 보여주기만 한다.
  4. SK플래닛 지도는 다음 지도나 네이버 지도와 마찬가지로 정부 규정에 따라 보안 처리된 지도다.
  5. 구글이 지도를 반출하겠다는 의미는, 이 SK플래닛 지도 데이터를 해외의 서버에서도 쓸 수 있게 해달라는 말이다.

따라서, 구글이 보안 처리되지 않고 속속들이 다 보이는 지도 데이터를 외국으로 가져가려 한다는 주장은 사실이 아니다. 가져가려는 지도는 네이버나 다음의 지도와 마찬가지로 보안 처리된 데이터다. 보안의 측면에서만 보자면 당장에라도 반출을 허용하지 않을 이유가 없는 것이다.

법을 위반하는 일도 아니다. 한국 법은 지도 정보 반출을 금하고 있지만, 예외적으로 허용할 길을 열어두고 있다. 그 결정을 위해 정부 부처 간 협의체(‘공간정보 국외반출 협의체’)까지 구성할 수 있도록 했다. 따라서 필요성이 인정된다면 협의체가 반출 허용 결정을 내리기만 하면 된다. 물론 필요성이 없다면 불허 결정을 내릴 수도 있을 것이다. 이것은 지도 반출로 얻거나 잃을 이익을 따져 내릴 정책적 판단이다.

안보를 걸고넘어지는 주장은 모두 이러한 사실을 모르거나 아니면 일부러 무시한다고 보면 된다. 안보 때문에 안 된다고 주장하는 측은 예컨대 다음과 같은 기사에서 동력을 얻는다.

“정부는 지도데이터에서 중요 안보시설을 삭제할 것을 반출조건으로 내걸고 있고 구글은 이에 강력히 반대하기 때문이다.”

-연합뉴스, 국토부 “지도반출 불허해 포켓몬 고 불가능한 것 아니다” (2016. 7. 14) 중에서

이런 서술은, 구글이 안보시설이 속속들이 표시된 지도를 가져가려고 한다는 오해를 조장한다.

 

위성사진에서 뺨 맞고 지도에 화풀이

오해든 착각이든, 안보 문제가 있으므로 지도 반출을 허용해서는 안 된다는 주장이 나오고, 반출 허용 여부를 결정해야 할 정부가 그런 여론을 느긋하게 즐기고 있는 데에는 이유가 있다. 반출 대상이 되는 지도와 직접 관련이 없는 위성사진 때문이다.

많은 사람이 알듯 구글의 위성사진은 한국 정부가 가리고 싶어 하는 시설을 속속들이 보여준다. 정부에서 볼 때, 외국 기업이라 손을 쓸 수 없어 하릴없이 두고 보기는 하지만 눈엣가시 같은 일이 아닐 수 없다.

반출 대상 지도 데이터와 직접 관련이 없는 구글의 위성사진과 관련한 사실관계도 정리해 보자.

  1. 구글 지도에 나오는 한국의 위성사진은 .co.kr 버전과 .com 버전이 있다.
  2. 한국 주소인 .co.kr로 보이는 위성 이미지는 해상도가 낮아 희미하게 보인다.
  3. 이것은 구글이 한국 법규를 따르려고 일부러 해상도를 떨어뜨린 결과다.
  4. 한편 한국법이 적용되지 않는 외국 주소인 .com으로는 선명한 이미지가 보인다.

한국 웹주소와 해외 웹주소를 다르게 하여, 해외 주소로 접속하면 다 볼 수 있게 한 것은 눈 가리고 아웅한 것으로 볼 수도 있다. 그러나 거꾸로 보자면, 한국에서는 법이 그렇게 강제하니까 울며 겨자 먹기로 그렇게 한 것으로 볼 수도 있다. 어떤 시각에서 보느냐의 차이다.

어쨌든 구글 국내 위성사진에는 흐릿하게 나오는 주요 시설물들이 .com 사진에는 선명하게 다 보인다. 이것을 ‘해결’하는 것은 정부의 숙원 사업이다. (이것이 의미 없는 일이라는 것은 밑에서 다시 자세히 쓴다.) 따라서 구글이 지도 반출을 신청하고 이에 대해 여론이 안보를 이유로 부정적으로 형성되는 것은 정부에게 반가운 상황이다. (반출 대상 지도가 아닌) 위성사진을 손보도록 요구하는 계기로 활용할 수 있기 때문이다.

8월 말까지 응답을 내놔야 하는 정부가 가장 선호할 만한 해결 방식은, 구글에 기왕의 SK플래닛 지도 데이터 반출을 허용하는 대신, 그 조건으로 구글 위성사진(.com)을 국내 업체의 사진처럼 보안 처리하도록 요구하는 것이다. 정부로서는 이미 쓰고 있는 지도 반출을 허용해 주면서 숙원 사업이던 위성사진 물칠을 성사시킬 수 있는 빅딜이다. 일부에서 주장하는 것처럼 구글에게 이례적으로 서버를 자국 안에 들여오도록 강제함으로써 국제 사회에 권위주의 국가의 인상을 또 하나 더하는 것보다 훨씬 이득이 되는 방안이기도 하다.

문제는 구글이 이런 제안을 받을 것이냐이다. 쉽지 않은 일일 것이다. 구글코리아는 그 이유로 세 가지를 든다. 첫째, 한국의 지형을 그대로 다 보여주는 외국 위성사진이 널린 마당에 구글만 지우라고 하는 것은 아무런 실효성이 없는 요구다. 둘째, 이용자에게 정보를 제공하는 외국 기업의 서비스에 검열을 가하는 것이다. 셋째, 구글은 위성사진에 스스로 보안 처리한 적이 없다.

참고로, 위키피디아에는 세계 위성사진에서 희미하게 처리된 지역을 표시한 목록이 있다. 여기에는 구글이나 빙(MS의 검색엔진) 위성사진도 포함되어 있다. 그런데 이 지역을 클릭해 실제로 가 보면 정상적으로 보이는 곳이 적지 않다. 이에 대해 구글은 지도 상태 때문에 희미하게 보이지 않은 경우일 뿐이며, 해당 지역을 보여주는 더 좋은 지도가 입수되면 계속 업데이트를 하고 있기 때문이라고 말한다.

특히 첫 번째 이유가 시사적이다. 정부는 구글의 위성사진을 보안 처리하는 것에 심혈을 기울이고 있지만, 한국을 다 보여주는 위성사진은 구글 말고도 널려 있다. 어찌어찌 하여 구글 사진을 물칠하도록 하는 데 성공한다 하더라도 악의 없는 이용자의 시각만 가로막을 뿐, 실제로 악의를 가진 사람에게는 아무런 의미도 없는 것이다.

아래 사진들은 네이버, 다음 같은 한국 지도 서비스들과, 접속하는 데 몇 초밖에 걸리지 않는 외국 지도 서비스들의 위성사진을 통해 본 경복궁과 청와대 모습이다.

 

이뿐만 아니다. 온라인으로 무료 서비스되는 이들 위성사진 말고도, 사진을 상업적으로 파는 많은 위성사진 업체가 있다. Esri.com, digitalglobe.com 등이 그중 일부다. 이 업체들은 누구든 돈만 내면 무료 위성사진보다 훨씬 더 높은 해상도의 사진을 제공한다.

국제적으로 이용되는 이들 지도 서비스를 열면, 한국인만 못 보고 있는 장면들이 크고 아름답게 나타난다. 구글의 위성사진을 지우려 하는 정부 노력은, 이 모든 지도들도 막아낼 수 있다는 전제가 있어야만 의미가 있다.

결국, 정부는 다국적 기업을 상대로 하여 안보의 깃발을 높이 들고 애국적 싸움에 나선 것 같은 자세를 취하고 있지만, 실제로는 안보 실익이 전혀 없는 싸움을 벌이고 있는 셈이다. 이것이 지도 반출 문제와 관련이 없다는 것은 덤이다.

 

한국에 서버를 설치하라?

앞서 잠깐 언급했지만, 지도 반출 논란에 대한 한 가지 처방은 구글이 서버를 한국에 설치하면 된다는 것이다. 이것이 얼핏 해결책처럼 보이는 것은 사실이다. 구글이 SK플래닛 지도 데이터를 한국에 있는 서버에서만 돌린다면 반출 논란은 당연히 필요 없게 된다.

그러나 이게 말처럼 쉽지 않다는 데 문제가 있다. 구글은 전 세계 지도 데이터를 현재 15개 국가에 산재하는 데이터 센터에 분산 배치하고 클라우드 기반으로 운영하고 있다. 어떤 한 나라의 데이터를 돌리기 위해 그 나라에 서버를 설치한 일은 한 번도 없다. 이렇게 지역에 데이터를 묶어버리면 안정성 유지에도 문제가 생길 수 있다.

현실적으로 가능하지 않은 일을 하라고 요구하는 것은 억지다. 국내의 시각만 가진 정부나 업체들은 이해하기 어려운 일일지도 모른다. 그러나 일취월장하여 언젠가 국경을 넘어 세계로 진출해야 할 국내 기업이 겪어야 할 일일 수도 있다.

게다가 국내에 서버를 설치하라는 것은 정보의 국경 없는 자유로운 흐름이라는 인터넷의 대원칙에도 어긋난다. 데이터를 수집된 국가 안에 묶어두려는 이른바 데이터 국지화의 경제적 문제점을 새삼 지적할 필요는 없을 것이다.

구글이 한국에 서버를 두기를 꺼리는 또 하나의 이유를 짐작할 수 있는 사례가 있다. 2011~12년에 구글은 아시아 지역 세 곳에 대형 서버를 구축하기로 하고 지역을 물색했다. 세계 최대 검색 엔진의 거대한 서버 시설을 유치하는 데서 올 경제 효과를 염두에 두고 한국도 열심히 유치 운동을 했다. 그러나 구글 서버는 대만, 싱가포르, 홍콩으로 갔다.

한국이 제외된 데에는 정치적인 이유가 있는 것으로 풀이됐다. 2011년 5월 한국 경찰은 모바일 광고의 위치정보 수집 사건을 수사하면서 구글코리아와 다음커뮤니케이션을 압수수색했다. 그뿐만 아니라 수사 당국이 영장 없이도 이동통신사를 찔러서 이용자 정보를 마음껏 캐내 가는 나라가 한국이다. 구글 서버도 마음만 먹으면 얼마든지 뒤질 수 있을 것이다. 이런 나라에 서버를 두고 싶어 하는 인터넷 기업은 별로 없을 것이다.

 

세금 받고 싶으면 법규부터 고쳐라

여기서 지도 반출 이슈와 상관없는 또 하나의 애국 프레임이 등장한다. 구글이 한국에 세금을 내지 않고 부도덕하게 사업을 하고 있다는 것이다. ‘불법’이라는 말을 쓰지는 않지만, 그 어조는 사악하고 패륜적인 반국가단체를 나무라는 양상이다.

이런 주장은 구글이 한국에서 돈 한 푼 내지 않고 사업을 하는 것 같은 오해를 불러일으킨다. 한국에서 활동하는 구글코리아는 물론 세금을 낸다. 구글이 한국에서 창출한 수익 전체에 대해 적절한 세금을 내고 있는가는 논란의 여지가 있다. 그러나 구글은 현재 한국법과 국제 규정이 정하고 허용한 바에 따라 기업을 운영하고 있을 뿐이다.

문제가 있다면 구글이 아니라 법규다. 구글이 창출하는 이윤에 대해 세금을 제대로 물리고 싶다면, 그렇게 하도록 법을 제·개정하고 규정을 정비하면 된다. 세법을 개정하면 얼마든지 가능하다는 의견이 있고, 이미 그렇게 하는 나라들도 있다. 경제협력개발기구(OECD) 차원에서 그런 방안을 모색하고 있기도 하다. 그런 일은 하지 않으면서 기업을 나무라는 것은 아무런 의미도 없고 해결책도 될 수 없다.

구글이 세계적 강자이기는 하지만, 구글 지도 서비스가 한국에 개시된다고 해서 한국인이 바로 구글 대마왕에 종속되리란 보장은 없다. 구글이 한국어 검색 서비스를 시작한 지 15년 이상 지났지만, 한국에서는 여전히 네이버가 지배적인 지위를 유지하고 있다. 구글을 쓰는 사람이 늘어간다면, 이것은 어떠한 이유에서든 구글의 서비스에 만족하는 사람이 는다는 뜻일 뿐이다. 다른 기업 역시 그런 만족을 주기 위해 노력하는 것이 올바른 접근일 것이다.

정부는 곧 구글의 지도 반출 신청에 대한 응답을 내놓아야 한다. 지도 반출과 직접 관련이 없는 안보나 준탈세 프레임에 휩쓸리기보다, 지도 데이터 개방이 이용자와 한국 경제의 미래를 위해 실제로 어떤 효용이나 불이익을 가져올까를 꼼꼼히 따져보는 것이 좀 더 생산적인 접근일 것이다.

국경에 구애받지 않는 온라인 기업들의 규모가 막대하게 커지고 있다. 온라인과 오프라인을 결합하며 새로운 형태의 사업 모델을 구축하여 실물 경제의 주역으로 부상하는 기업들도 있다. 이러한 상황은 우리 사회가 기업과 관계 맺고 살아가는 방식을 새로이 검토해야 할 필요를 제기한다. 안보 필요에서부터 납세의 의무까지, 명분과 구호만으로 성취할 수 있는 일은 더 이상 많지 않다. 정보의 자유로운 흐름을 기반으로 형성된 온라인 세상을 살기 위한 21세기 패러다임을 고민해야 할 때다.

 

* 위 글은 슬로우뉴스에 동시 게재하였습니다. (2016.08.16.)

 

화, 2016/08/16- 15:31
244
0

보안 처리: 구시대적 지도 검열

글| 허광준(오픈넷 정책실장)

 

이 글은 총 두 편입니다. 1편은 지도 반출 문제, 2편은 지도의 보안 처리 문제를 다룹니다. (필자)

  1. 구글 지도 반출, 21세기식 접근이 필요하다
  2. → 보안 처리: 구시대적 지도 검열

 

이미 알려진 대로 한국 지도 데이터를 국외 서버에 저장하겠다는 구글의 신청은 국가 안보를 이유로 하여 허락되지 않고 있다. 정확히 말하면, 정부는 일정한 시설물을 지도나 위성사진에 공개하지 않는 방침을 갖고 이에 따라 지도를 제작 및 공개하고 있으나, 미국 기업인 구글이 이를 수용하지 않기 때문이다.

이 글에서는 한국의 지도에서 은폐되는 시설물과 보안 처리에 대해 살펴보자.

현재 한국에서 서비스되는 온라인 지도는 규정에 따라 일정한 시설물을 표시하지 않거나 위장, ‘물칠’(블러링) 등의 형태로 가려야 한다. 이것은 공간정보법 제35조와 그에 따른 보안관리규정이 일정한 지도 정보를 비공개하도록 요구하고 있기 때문이다. 이 법규들에 따르면 공간정보를 관리하는 기관(국토교통부 산하 국토지리정보원)은 국가정보원과 협의하여, 공개가 제한되는 정보의 접근이나 유출을 막는 조치(보안 처리)를 시행하여야 한다.

구체적으로 어떤 시설물이 보안 처리가 되는지는 3급 기밀 사항이다. 그러나 보안관리규정의 공간정보 분류기준표와 실제 지도를 참고하면 대략적인 기준을 알 수 있다. 청와대나 국가정보원 같은 특수 정부 기관, 군부대 등 군사 시설, 휴전선 일대, 교도소, 발전소, 변전소, 댐, 송유관 같은 것들이 포함되어 있으며, 송전탑이나 각종 맨홀(전기, 통신, 전화 맨홀들)도 그 대상이다.

이들 시설물은 안보 위험도에 따라 ‘비공개’와 ‘공개 제한’으로 나눈다. 비공개는 그 존재를 아예 표시하지 않는 것이며, 공개 제한은 무언가가 있지만 삭제했다는 흔적을 남기는 방식이다.

이러한 조치가 국가 중요 시설물을 보호할 목적으로 취해진 것은 이해할 만하다. 문제는 과거와는 달리 새로운 정보 통신 환경이 조성되면서 이 같은 정책의 필요성이나 실효성에 변화가 생기고 있고, 점증하는 국민의 공간정보 서비스 수요와도 잘 맞지 않는 상황이 벌어진다는 점이다.

 

갑자기 사라지는 교도소

법무부가 운영하는 교도행정 종합 웹사이트인 ‘교정본부’에는 전국 교도소의 위치를 안내하는 지도가 게시되어 있다. 각 교도소에는 주소가 명기되어 있고, ‘오시는 길’이라는 버튼도 달려 있다. 버튼을 누르면 다시 해당 교도소를 안내하는 약도가 뜨고 버스 편 같은 정보가 나온다.

이렇게 오시는 길은 알려주고 있지만, 실제로 방문자가 가시는 길을 찾기는 쉽지 않다. 일상에서 길찾기나 위치 확인의 표준이 되다시피 한 네이버나 다음의 지도에서는 이 교도소들을 도무지 찾을 수 없기 때문이다. 이들 지도에서는 ‘OO교도소’를 넣어도 검색되지 않고, 교정본부 웹사이트에 나온 교도소 주소를 넣으면 없는 지역이라는 응답이 뜬다.

어찌어찌 하여 주변 지역을 찾아갔더라도, 거대한 시설물 중에서 어느 방향으로 접근해야 할지 알 수 없다. 진입로를 찾을 수 없기 때문이다. 거리뷰로 경로를 쫓다 보면 건물들은 갑자기 사라지고 대신 뿌연 물칠이 앞을 가로막는다. 정부 사이트에 ‘오시는 길’을 약도와 더불어 친절히 안내한 시설물이 지도에서는 아예 존재조차 하지 않는다.

보안관리규정에 따르면 대형 댐은 공개제한 대상이다. 발전소를 겸한 대표적인 대형 댐인 소양댐은 네이버와 다음의 지도에서 이러한 규정에 따라 보안 처리되어 있다. 거리 지도에는 아예 나오지 않았고, 위성사진에는 덧칠했다.

그러나 소양강댐 주변의 거리뷰를 따라가면 댐 시설물이 배경에 그대로 보이고, 댐 자체도 관광지로 조성되어 있어 관광버스들이 늘어선 모습을 보게 된다. 다시 말해 다양한 방법으로 확인할 수 있고 심지어 관광지가 되어 누구나 접근하여 사진을 찍을 수 있는 곳이 옛날식 규정에 따라 지도에서만 가려져 있는 것이다.

 

미국도 공개하는 미군 부대, 한국이 지켜준다

경기도 의정부에서 서울로 들어오는 경계지역에는 소규모 미군 부대가 주둔해 있다. 역시 한국 인터넷 지도에는 보안 처리되어서, 위성사진에도 나오지 않고 거리뷰는 뿌연 물칠이 되어 있다. 그러나 이 미군 부대 코앞으로 1호선 전철(도봉산~망월사 구간)이 지나간다. 전철은 지상보다 높은 위치에 설치되어 있어서, 차 안에서 미군 부대 영내가 훤히 다 들여다보인다. 매일 10만 명 이상의 사람들이 감상하며 지나는 곳이 지도에서만 가려져 있다.

한국을 포함한 해외의 미군기지는 미국 영토의 일부 간주되며, 이 미군기지도 마찬가지다. 말하자면 정작 미국 기업은 자기네 군대가 주둔한 자기네 영토의 모습을 아무런 규제없이 보여주는데(미국 본토의 군사기지도 마찬가지다), 제3자인 한국은 남의 나라 부대의 안전을 염려하여 삭제해주고 있는 셈이다.

 

18개의 비밀 골프장

구글의 지도 데이터 반출 신청을 놓고 정부가 하는 주장은, 이 지도 데이터를 (구글닷컴의 위성사진처럼) 보안 처리하지 않은 위성사진과 결합하면 주요 안보 시설에 대한 위협이 커진다는 것이다. 따라서 지도 데이터를 가져가려면 위성사진을 보안 처리해야 한다는 말이다.

이에 대해 구글은, 데이터와 위성사진을 합칠 필요도 없이 모니터 두 개를 놓고 지도를 비교해 보기만 해도 누구나 알아낼 수 있는 일을 놓고 위협이라고 하는 것은 어불성설이라고 주장한다. 한국 지도의 보안 처리 덕분에 새로운 취미를 발견한 사람들도 있다. 이들은 지도에서 사라진 주요 시설물들을 찾아보는 일을 게임에서 수행해야 할 퀘스트(임무)처럼 생각한다.

이런 일을 본격적으로 해본 사람도 있다. 독일인으로 한국에 와서 가르치는 막스 노이페르트 교수는 어느 날 흥미로운 사실을 발견했다. 자신이 사용하는 외국 지도와 한국의 웹 지도가 다르다는 것을 깨달은 것이다. 시각예술가이기도 한 그는 정말로 ‘모니터 두 개를 놓고’ 대한민국의 전국 지도를 이 잡듯이 뒤져 보았다. 그 결과 한국 지도에서 삭제되어 있는 많은 시설물을 확인할 수 있었다.

그중에서도 그의 눈길을 끈 것은 수십 개의 골프장이 한국 지도에는 모두 삭제된 점이었다. 바로 군부대 안에 있어 ‘군사시설’로 간주되는 골프장들이었다. 노이페르트 교수는 이러한 조사를 바탕으로 하여 [열여덟개의 은밀한 골프장]이라는 소책자를 펴내고 전시회도 열었다.

 

그가 이 문제에 흥미를 느낀 것은, 이것이 분명한 검열에 해당하기 때문이었다. 검열치고는 상당히 우스꽝스러운 것이었다. 아예 검게 처리한 것도 아니고, 주변 지형과 전혀 어울리지 않는 형태로 위장했기 때문이다. 골프장을 그대로 보여주는 다른 위성사진이 흔해빠진 세상에서 극구 이를 지우려 하는 모습도 우스꽝스러웠다. 노이페르트 교수는 자신의 홈페이지에 이렇게 썼다.

“검열되지 않은 이미지를 공짜로 쉽게 구할 수 있기 때문에, 이러한 지역을 검열한다는 것은 그 자체로 무의미한 것처럼 보인다. 한국 내 지도에서 이런 지역을 가리려는 노력은 아무런 실익이 없는 시지푸스의 행위 같은 것이다.”

이렇게 대중의 눈을 피한 곳에서 어떤 일이 벌어지는지는 이따금 보도에 흘러나오는 것으로 짐작할 수 있다. 군 골프장의 정식 명칭은 ‘체력 단련장’이다. 군사시설이고 그래서 지도에서도 가려져 있지만, 실제로 이곳에서 체력을 단련하는 사람은 대부분 군인이 아니다. 현역은 20%가 채 되지 않고, 그것도 대개 고위급이다. 나머지 80% 이상은 예비역이나 민간인들이다. 조금 과장하여 말하자면 특권층들이 쉽게 부킹하여 값싸게 골프를 칠 수 있는 곳이다. 그러면서도 안보를 명분으로 하여 대중의 시야로부터 철저히 차단한다.

 

민간에 떠넘긴 보안 작업

국내 지도나 위성사진에 이런 보안 처리를 하는 실무 주체는 정부 기관이 아니다. 다음, 네이버 같은 민간 업체가 규정을 참고하여 알아서 처리한 뒤 기관의 검사를 받는다. 정부가 해야 할 보안 업무를 민간에게 떠넘긴 것이다.

이들 업체는 다양한 방식으로 보안 처리를 수행하는데, 대개 ‘알바’ 형태의 인력을 고용하여 진행한다. 보안 처리 대상 시설은 1천 개 이상이고, 위성사진뿐 아니라 거리뷰 모습까지 하나하나 작업해야 한다. 엄청난 작업량을 비전문가들이 담당하다 보니 실수가 쉽게 벌어진다. 국내 지도들의 거리뷰 등을 보면, 규정에 따르면 명백히 가려야 할 곳이 가려지지 않은 곳들을 쉽게 찾을 수 있다.

그 반대도 있다. 가릴 필요가 없는데도 그냥 보안 처리를 해버리는 경우도 있다. 그편이 훨씬 안전하다. 가릴 곳을 못 가리면 문제가 되지만, 안 그래도 될 곳을 가렸다고 해서 심각한 문제가 되지는 않는다. 노이페르트 교수가 처음에 찾아낸 비밀 골프장은 60개 이상이었다. 전국에 존재하는 실제 군 골프장은 29개다. 착오가 생긴 것은, 지도 서비스 업체의 보안 처리 담당자들이 군부대와 인접해 있는 사설 골프장까지 모두 보안 처리했기 때문이다. 실효도 없는 보안 처리 규정 때문에 이용자의 정보 접근권이 얼마나 보호되지 못하는가를 잘 보여주는 사례다.

적성 국가와 맞붙어 있는 준전시 상태 국가에서 중요 시설들이 지도에 드러나지 않도록 처리하는 것은 꼭 필요한 일이라 볼 수 있다. 문제는 이러한 접근이 시대에 맞지 않게 지나치게 광범위하고 포괄적인 데다, 변화하는 정보 환경을 제대로 반영하지 못한다는 점이다. 실효성도 없이 규제의 짐만 되는 신세로 전락한 셈이다.

공간정보에 대한 개인과 기업의 요구가 커지고 이동성이 대폭 확장된 오늘날, 대중 노출을 차단하고 보호하여야 시설은 최소한으로 국한되어야 한다. 꼭 필요한 시설물을 보호할 때, 보호 조치는 의미가 있다. 정부는 케케묵은 목록을 민간 업체에 던져주고 손 놓고 있을 게 아니라, 변화한 상황을 반영하여 보호 대상 시설물을 재정의하고 실질적인 보호조치를 마련해야 한다.

민간 업체들도 상황 개선에 얼마나 노력을 기울였는지 자문해 봐야 할 일이다. 과도한 정부 지침을 그대로 이행하기만 하는 데 바쁘지 않았는지, 자신의 서비스를 이용하는 소비자 입장에서 문제를 바라본 적은 있는지를 돌아볼 수 있을 것이다. 불합리하거나 무리한 규제를 별다른 문제의식 없이 그대로 수용하면서 서비스 품질을 떨어뜨릴 때, 그런 일을 하지 않는 경쟁자를 어떻게 감당할 수 있을까도 고민해볼 일이다.

 

* 위 글은 슬로우뉴스에 동시 게재하고 있습니다. (2016.08.16.)

 

화, 2016/08/16- 16:57
900
0

“강제적 공인 인증”의 남발 우려되는

개인정보보호관리체계(PIMS) 인증 의무화 시도

 

지난 11월 9일 열린 국회 미래창조과학방송통신위원회 전체회의에 국민의당 황주홍 의원이 발의한 정보통신망 이용촉진 및 정보보호에 관한 법률(“정보통신망법”) 일부개정법률안이 상정되었다. 동 개정안은 개인정보보호관리체계(PIMS, Personal Information Management System) 인증 제도의 활성화를 위해 일정 규모 이상의 정보통신서비스 제공자에게 PIMS 인증의 획득을 강제하는 것을 주요 내용으로 하고 있다. 사단법인 오픈넷은 정부의 “강제적 공인 인증”의 남발은 개인정보 유출 사고의 해결책이 될 수 없음은 물론 기업들이 다양한 개인정보보호 시스템을 개발할 동기를 박탈하고 스타트업들에게 진입장벽을 만들기 때문에 반대한다.

현재 자율적으로 운영되고 있는 PIMS 인증제도는 “공공기관 및 민간기업 등 조직이 수립하여 운영하고 있는 개인정보보호 관리체계가 인증기준에 적합한지 여부를 인증기관이 평가하여 인증을 부여하는 제도”이다. 2010년 방송통신위원회 의결로 시행되었으며, 2012년 정보통신망법 개정으로 법적 근거를 마련하였다. 이와 별개로 2011년 개인정보보호법의 제정과 함께 도입되어 2013년부터 시행된 개인정보보호(PIPL, Personal Information Protection Level) 인증 제도가 있었다. 그러나 방통위 주관 PIMS 인증과 행정자치부 주관 PIPL 인증이 유사할 뿐만 아니라 중복적인 내용이 많아 2014년 규제개혁위원회의 “범부처 인증제도 개선방안”의 일환으로 PIMS 인증으로 제도가 통합되었다.

2016년 11월까지 유지되고 있는 PIMS 인증서는 총 66건인데, 2014년 6건, 2015년 14건, 2016년 29건으로 발급 건수가 매년 200% 이상 큰 폭으로 늘고 있다. 중복적 제도의 통합 운영과 인증기관인 한국인터넷진흥원(KISA)의 홍보 노력 등이 성과를 나타내고 있는 것이다. 이러한 상황에서 굳이 의무화를 하기보다는 활성화 추세를 지켜보고 인센티브 부여 등으로 자율 규제를 촉진하는 것이 훨씬 효과적일 것이다. 이 편이 자율적인 개인정보 보호 활동의 촉진 및 지원을 인증제도의 목적으로 하고 있는 개인정보보호법의 취지에도 부합한다.

그리고 오픈넷은 얼마 전 정보보호관리체계(ISMS, Information Security Management System) 인증 의무화 확대에 대해서도 반대 입장을 밝힌 바 있다. 반대 논거들은 PIMS 인증 의무화에 대해서도 거의 동일하게 적용된다. 게다가 ISMS 인증과 PIMS 인증은 심사체계나 인증기관이 거의 동일하며, 인증기준도 중복되는 부분이 많아 혼란만 가중시키고 있다. 그런데 PIMS 인증까지 의무화한다면 중복 규제로 실질적인 보안 강화 효과는 없으면서 적용 대상 사업자들에게는 추가적인 부담을 지우게 되며 스타트업들에게는 이중의 진입장벽이 될 뿐이다.

정부 주도 인증 내지 관치보안의 가장 큰 문제점은 정부로부터 “공인”된 해당 인증만 받으면 최선의 조치를 다한 것으로 간주되어 시장 변화나 기술 발전에 훨씬 민감한 민간 영역의 기술 개발이나 인증 제도의 활성화를 막고 결국 그 피해가 이용자들에게 고스란히 돌아간다는 점이다. 공인 인증의 남발은 지양되어야 한다.

 

2016년 11월 24일

 

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

 

[관련 글]

목, 2016/11/24- 11:33
521
0

앱 사전검열제를 실행하려는 선탑재 앱 금지법안에 반대한다.

- 신경민 의원 대표발의 전기통신사업법 일부개정안에 대한 오픈넷의 의견

 

스마트폰에 사전 설치되는 선탑재 앱이 이용자 단말기의 물리적인 자원(저장장치, 메모리) 사용을 제한하며 데이터 소모 등을 초래하여 불편을 초래한다는 지적에 따라, 정부는 이미 2014년 선탑재와 관련한 가이드라인을 제정하여 시행 중에 있다. 최근 신경민 의원은 소위 “필수앱” 외에는 선탑재를 금지하는 내용의 전기통신사업법 개정안(이하 ”신경민 의원안”)을 대표발의 하였으나, 오픈넷은 아래와 같은 이유로 해당 법안에 대하여 반대의견을 밝힌다.

선탑재 앱은 삭제가 어렵거나 불가능 및 불편하게 되어 있는 경우 소비자의 편익을 저하시키고 산업계의 경쟁을 저해할 수 있다. 예컨대 시장지배적 지위를 갖춘 OS업자에 의해 삭제 불가 형태로 선탑재된 지도 앱은 소비자가 원치 않는 경우 소비자에게도 불편하지만 경쟁지도 앱에 대하여 자연스러운 진입 장벽이 된다. 그러나 그런 위험에 대한 대비책으로서 미래부 장관이 삭제가 쉬운 앱을 포함하는 모든 선탑재 앱을 사전승인하는 것은 반대한다.

첫째, 이것은 국가에 의한 앱 내용에 대한 사전검열이 된다. 선탑재 앱도 일종의 정보이고, 삭제가능한 앱의 선탑재는 사업자들이 그 정보를 이용해볼 것을 제안하는 행위인데 그 정보의 내용에 따라 국가가 제안을 허용하기도 하고 불허하기도 하는 것은 헌법이 금지하는 사전검열에 해당된다. 참고로 신경민 의원안은 앱의 선탑재(이용자가 단말장치를 처음으로 기동하기 전에 미리 특정 소프트웨어를 설치‧운용)뿐 아니라 기동 이후에 ”설치를 제안”하는 행위마저 정부허가 없는 한 금지하고 있다.

물론 모든 앱은 선탑재되지 않아도 소비자의 적극적인 선택에 의해 다운로드되어 이용될 수 있지만, 그렇다고 해서 선탑재를 통해 그러한 이용을 제안하는 것까지 국가의 허락을 받아야 한다는 의미에서 사전검열성은 변함이 없다.

둘째, 승인의 기준이 불분명하다. 앱이 단말기의 고유한 기능과 기술을 구현하기에 필수적인지(이하 “필수성”)를 판단할 구체적 기준이 전무하다. 스마트폰은 무슨 앱이 장착되는가에 따라 무궁무진한 기능을 할 수 있는데 신경민 의원안은 스마트폰의 “고유한 기능과 기술”에 따라 앱 선탑재 여부를 정부가 미리 판단하도록 하고 있다. VR 앱이 선탑재된다면 이는 스마트폰의 “고유 기능”인가 아닌가?포켓몬고는 스마트폰의 “고유 기능”인가 아닌가? 스마트와치에 FM라디오기능이 첨가된다면 그것은 “고유 기능”인가 아닌가?

셋째, 선탑재 앱 규제는 소비자 편익과 경쟁제한성 차원에서 운영되어야 하고 그렇기 때문에 앱의 내용 만을 보고 탑재여부가 결정되는 사전승인제도로 존재하는 것이 논리적으로 불가능하다. 즉 해당 앱이 삭제가 불가능한지 얼마나 불편한지 또 소비자들이 얼마나 불필요하게 여기는지 또 경쟁사들의 시장진입을 얼마나 저해하는지를 모두 평가하여 판단해야 한다. 신경민 의원안은 이와 같은 소비자편익과 경쟁제한성을 전혀 고려하지 않고 오직 앱의 내용만을 보고 판단하도록 하고 있어 문제인 것이다.

이렇게 되면 공익 목적의 재난방지 앱 또는 라디오 앱 등의 설치도 필수앱이 아니라는 이유로 소비자에게 필요하고 경쟁을 제한하지 않음에도 사업자들이 선탑재를 하지 못하게 된다. 또 사물인터넷시대에는 앱 장터에서 판매되지 않고 특수한 단말기에서만 구동되는 앱도 있을 수 있고, 또는 앱 장터가 없거나 활성화되지 않아 OS 또는 단말기 제조사가 대부분의 앱을 만들어 제공하여야 하는 경우도 발생할 수 있다. 이런 경우에도 해당 단말기를 정부가 미리 검토해서 그 단말기의 “고유한 기능”을 정하고 이에 따라 “필수앱”과 그렇지 않은 앱을 나눠 선탑재는 물론 후설치 제안도 하지 못하게 하는 것은 소비자편익과 경쟁을 통한 혁신을 위축시키는 일이기도 하다.

미래부가 2014년 소위 “선탑재 앱 가이드라인”을 정하면서 4개의 앱 만을 필수앱이라고 권고한 것은 바람직하지만 제조사, OS업체, 이동통신사에게 위 4개의 앱 외 나머지에 대해서는 소비자 편익이나 시장경쟁을 저해하지 않는지 판단해보고 탑재하라는 권고로서 의미가 있다. 그 4개의 앱 외에도 앱에 따라 소비자들은 삭제가능하기만 하다면 다른 앱들이 선탑재되기를 원할 수도 있고 어떤 앱들은 스타트업들의 납품을 받는 앱일 수도 있다.

정리하건대, 삭제가 불편하고 소비자들이 원하지도 않으며 경쟁 앱의 시장진출을 저해하는 선탑재 앱은 반드시 규제되어야 한다. 그러나 규제의 기준은 앱의 내용에 근거한 ‘필수성’이 되어서는 안 되며 신경민 의원 안과 같은 사전승인방식으로 존재할 수 없다.

 

2016년 12월 28일

 

사단법인 오픈넷

 

문의: 오픈넷 사무국 02-581-1643, master@opennet.or.kr

수, 2016/12/28- 11:00
335
0

국회로 간 공인인증서, 해결의 싹을 틔우다

공인인증서 문제해결을 위한 이용자모임 주최 제2차 정책토론회 성료

국회의원들과 정책 협약 체결… 대선 후보들의 공약 분석도 발표

 

지난 4월 10일 공인인증서 문제 해결을 위한 이용자모임(이하 “이용자모임”)이 주최하는 공인인증서 및 본인확인 정책 관련 토론회 ‘4차산업혁명 시대, 새마을운동식 IT 정책에서 시장경쟁으로’가 국회 제3세미나실에서 열렸다. 이용자모임은 (사)시민이만드는생활정책연구원, (사)오픈넷, 로아팩토리, 보맵, 한국NFC, 한국핀테크산업협회, C2SOFT, SOPT 등이 참여하고 있으며, 이번 토론회는 두 번째로 열리는 것이다.

이날 토론회에서 이용자모임은 국회 김관영, 김세연, 김영진, 홍의락 의원과 공인인증서 및 본인확인 정책에 관한 정책협약을 체결하고, 앞으로 관련 법령 개선을 위해 함께 노력하기로 뜻을 모았다. 해당 국회의원들은 토론회에서 국내 인터넷 쇼핑몰을 통해 책을 사는 과정을 직접 체험했으며, 인터넷으로 결제할 때 거쳐야 하는 복잡한 본인인증 과정에 진땀을 흘리기도 했다.

이 토론회에서는 이용자모임이 각 정당의 대통령 선거 후보에게 보낸 공개질의서의 회신 내용도 함께 공개됐다.

공개질의서에 회신한 3개 정당 후보(더불어민주당 문재인, 국민의당 안철수, 정의당 심상정)는 공통적으로 정부가 주도하는 경직된 공인인증서 및 본인확인 정책이 시장 경쟁을 통한 혁신적 기술 발전에 악영향을 끼친다는 점에 동의하고, 전자서명 및 전자금융거래 관련 법령을 개정할 필요가 있다는 의견을 제시했다.

구체적으로 문재인 후보 측은 모든 인증수단이 차별 없이 경쟁할 수 있도록 공인인증제도를 폐지하고 전자금융거래법을 개정하여, 공인인증서를 사용했다는 이유로 금융회사가 부당하게 책임을 면제받는 일을 방지하며, 아울러 정보통신망법상 본인확인기관 제도를 폐지하겠다고 밝혔다.

안철수 후보 측은 공인인증기관 및 공인인증 제도를 정부가 지정하지 않으며, 국제표준에 기초한 금융거래 보안기술 평가점수를 부여하여 보안 부실을 방지하고, 나아가 액티브엑스 등 비표준 기술에 대한 대체기술 개발지원을 공약했다. 또한 은행, 카드사 등이 인증/보안기술을 자율적으로 선택하도록 하고, 다양한 보안기술이 국제수준으로 진일보하도록 경쟁 환경을 조성하며, 보안기술 시장을 중소기업 적합 업종으로 지정하겠다는 공약도 함께 내놓았다.

심상정 후보 측은 액티브엑스 등 비표준 기술을 없애고, 웹표준 도입 지원책을 강화하며, 개인정보 감독기구의 인사와 예산의 독립성을 제도적으로 보장할 것임을 주요 공약으로 제시했다.

이용자모임은 이날 체결된 정책협약에 따라 국회의원들과 관련 법령의 개정을 위해 노력할 예정이며, 개정안 발의를 위한 토론회를 앞으로도 계속 열 예정이다.

 

문의: 오픈넷 사무국 02-581-1643, [email protected]

 

<첨부 1> 정책협약 내용 전문

4차산업혁명시대 대비 공인인증서/본인확인 규제 개선을 위한 정책협약서

4차산업혁명시대에 우리는 시장 경쟁을 통한 기술 혁신을 가로막는 규제 개선이 요구된다는 점에 동의하고 아래와 같이 관련 법안 발의 및 통과를 위해 최선을 다할 것을 약속한다.

정부 주도의 경직된 인증수단 및 본인확인 규제 개선

정부가 사전에 온라인 인증수단 및 본인확인의 구체적 방법을 정하는 규제로 인해 관련 산업의 경쟁과 혁신이 저해되므로 정부가 기술중립성을 지키며 소비자 보호 등 본래의 역할을 수행할 수 있도록 관련 규제 개선을 위해 노력한다.

주민등록번호를 활용한 본인확인 관행의 폐지

주민등록번호가 공공 서비스 외에 본인확인 목적으로 활용되는 관행이 새로운 본인확인 기술 개발의 장애 요소임을 확인하고, 사적 주체에 의한 행정 목적 외 주민등록번호 수집 및 이용을 금지하는 법령 개정을 위해 노력한다.

국제규범에 따른 전자계약 관련 법령 개정

UN UNCITRAL 전자계약협약의 20대 국회 비준을 조기에 추진하고, UN 전자계약협약의 취지에 따라 국내 전자계약 관련 법령을 개정하기 위해 노력한다.

정책협의체 구성

국회에서 규제 개선을 위한 시민사회, 스타트업 기업, 국회의원 등이 주체가 된 정책 협의체를 구성하여 인증수단 및 본인확인 관련 규제 개선을 위해 노력한다.

 

2017년 4월 10일

공인인증서문제해결을 위한 이용자모임

(사)시민이만드는생활정책연구원, (사)오픈넷,

로아팩토리, 보맵, 한국NFC, 한국핀테크산업협회, C2SOFT, SOPT

국회의원 김관영

국회의원 김세연

국회의원 김영진

국회의원 홍의락

(가나다순)

 

<첨부 2> 회신 내용 중 각 후보별 공약 비교

(1) 회신 후보 공통의견

정부주도의 공인인증제도 폐지하는 전자서명법 개정안 취지 동의 (19대 최재천 의원 대표발의)

이용자보호 강화하는 전자금융거래법 개정안 취지 동의 (19대 20대 이종걸의원 대표발의)

국제 규범의 취지에 맞게 전자서명법령의 개정 필요

주민등록번호 사적 목적 이용 원칙적 금지에 동의

정통망법상 본인확인기관 제도 폐지에 동의

 

(2) 후보별 구체적 공약 비교

가. 더불어민주당 문재인

공인인증제도 폐지(모든 인증 수단이 차별 없이 경쟁할 수 있도록 보장)

전자금융거래법 개정(공인인증서 사용을 이유로 금융회사가 부당하게 면책되지 않도록 함)

정통망법 중 “본인확인기관 지정”제도 폐기(본인확인기술에 정부 개입 중단)

 

나. 국민의당 안철수

액티브엑스 등 비표준 기술에 대한 대체기술 개발지원

공인인증기관 및 공인인증제도를 정부가 지정하지 않으며, 국제표준에 기초한 금융거래 보안기술 평가점수를 부여하여 보안 부실을 방지

은행, 카드사 등이 인증/보안기술을 자율적으로 선택하도록 함

다양한 보안기술이 국제수준으로 진일보하도록 경쟁 환경 조성

보안기술 시장을 중소기업 적합 업종으로 지정

 

다. 정의당 심상정

액티브엑스 등 비표준 기술을 없애고 웹표준 도입 지원책 강화

개인정보 감독기구의 인사와 예산의 독립성을 제도적으로 보장

화, 2017/04/11- 11:38
238
0

윤영석 의원의 모바일 정보격차 해소법을 환영한다

정보접근성 강화하는 국가정보화 기본법 개정안 발의에 부쳐

 

지난 4월 5일 자유한국당 윤영석 의원은 국가정보화 기본법 개정안을 발의했다. 주요 내용은 장애인·고령자 등의 정보격차를 해소하기 위해 규정한 ‘웹 접근성’을 웹사이트뿐만 아니라 모바일 응용 소프트웨어를 포함하는 ‘정보접근성’으로 확대하고 정보접근성 품질인증 제도를 도입하는 것이다. 스마트폰 시대에 모바일 애플리케이션 접근성이 웹 접근성 이상으로 중요해지고 있기에 사단법인 오픈넷은 정보소외계층의 모바일 접근성을 강화하는 해당 개정안을 적극 지지한다.

웹 접근성(web accessibility)’이란 장애인, 고령자뿐만 아니라 “어떠한 사용자가 어떠한 기술환경에서도 전문적인 능력 없이 웹사이트에서 제공하는 모든 정보에 접근할 수 있도록 보장하는 것”이다. 현 국가정보화 기본법은 제32조 제1항에서 “국가기관등은 인터넷을 통하여 정보나 서비스를 제공할 때 장애인·고령자 등이 쉽게 웹사이트를 이용할 수 있도록 접근성을 보장하여야 한다”라고 하여 웹 접근성에 대해 규정하고 있다. 또한 장애인차별금지 및 권리구제 등에 관한 법률(이하 “장애인차별금지법”)에서는 공공기관, 교육기관 등의 웹사이트에 대한 접근성 보장을 법적 의무로 하고, 악의적 차별행위에 대해서는 형벌을 부과하도록 하고 있다.

약 10년 전 웹 접근성 보장 제도를 도입하고 관련 부처가 노력을 기울인 결과 웹 접근성 수준은 전반적으로 향상되어 왔다. 하지만 공공기관에 비해 민간 기관·기업의 웹 접근성 수준은 여전히 낮은 편이다. 2012년 시각장애인들은 대한항공의 홈페이지가 웹 접근성 지침을 준수하지 않아 장애인차별금지법을 위반했다며 손해배상 청구소송을 제기하기도 했다. 또한 웹 접근성 품질인증 제도가 있음에도 품질인증을 획득한 웹사이트나 모바일 애플리케이션은 극소수에 불과하다. (오픈넷이 반대해왔던 정보보호관리체계(Information Security Management System, ISMS) 인증 등의 강제적인 인증과 달리 웹 접근성이나 정보접근성 품질인증 제도는 전적으로 자율적인 인증이며 사전 규제에 해당하지 않으므로 긍정적인 제도로 평가할 수 있다.)

인터넷 이용 환경이 웹에서 모바일로 빠르게 전환되는 상황에서 모바일 접근성의 수준은 계속 낮은 것으로 나타나고 있다. 이번 개정안을 통해 접근성의 대상을 확대한다고 해도 하루아침에 모바일 정보격차가 해소되지는 않을 것이다. 정보접근성이 완전하게 보장되는 날이 올 때까지 정부, 공공기관, 사업자, 시민사회 등 각계 각층의 지속적인 관심과 노력이 필요하다. 또한 국회입법조사처가 제시한 바 있듯이 정부는 실제 이용자인 장애인, 고령자 등의 의견을 수렴하여 정책 수립과 평가에 반영해야 할 것이며 정보접근성을 최우선 과제로 삼아 예산을 투자해야 할 것이다.

신체적인 제약이 정보 접근에 어떠한 장애도 되지 않는 온라인 세상을 만들어나가는 한 걸음이 될 모바일 정보격차 해소법의 조속한 입법을 기대한다.

2017년 4월 18일

사단법인 오픈넷

문의: 오픈넷 사무국 02-581-1643, [email protected]

화, 2017/04/18- 12:05
250
0

혁신을 저해하는 부가통신서비스 규제 강화에 반대한다

– 신경민 의원의 전기통신사업법 개정안에 대한 논평

 

지난 11월 27일 더민주당 신경민 의원이 대표발의한 전기통신사업법 개정안은 부가통신역무의 정의를 구체화하고, 특수한 유형의 부가통신역무를 확대하며, 부가통신사업자에게도 기간통신사업자와 같은 의무를 일부 부과하는 내용을 포함하고 있다. 그러나 대한민국의 부가통신사업자들은 이미 세계적으로 유례를 찾기 힘든 진입규제에 의해 규율되고 있어 국가의 눈치를 계속 봐야 하는 상태에 놓여 있다.  이 상황에서 부가통신사업자에 대한 규제를 더 얹는 것은 무한한 가능성을 가진 인터넷 산업에 대한 족쇄이자 혁신을 저해하는 갈라파고스적 규제로 결국 인터넷 이용자들의 정보인권을 제약하고 다양한 서비스 선택권에서 나오는 편익을 저해하게 된다. 사단법인 오픈넷은 개정안의 부가통신서비스 규제 강화 조항에 반대한다.

 

현행 부가통신사업자 신고제의 문제

현 전기통신사업법은 제2조 제12호에서 부가통신역무를 “기간통신역무 외의 전기통신역무”라고 규정하고 있다. 기간통신사업자는 간단하게는 통신사와 ISP를 , 부가통신사업자는 이러한 기간통신에 기반한 서비스를 제공하는 사업자로 모든 인터넷 사업자를 포함한다. 부가통신사업자에게는 신고(특수한 유형의 부가통신사업자는 등록) 의무가 있는데, 사업자는 신고하고 1년 이내 사업을 시작해야 하고, 신고 사항의 변경, 사업의 양도·양수 또는 합병·상속, 사업의 휴지·폐지도 모두 신고를 해야 하며, 이러한 제한을 위반할 경우 과학기술정보통신부장관에 의해 사업의 전부 또는 일부의 폐지를 당하고 징역형 또는 벌금형에 처해질 수 있는 매우 강력한 진입규제로 운영되고 있다.

인터넷은 컴퓨터 이용자들의 자발적인 결합체로서 구조상 중심이 없고 각 이용자는 오프라인 상의 영향력에 관계 없이 온라인 상으로는 동일한 지위를 갖는다. 이에 따라 인터넷은  힘없는 개인이나 영세한 스타트업도 정부기관이나 막강한 대기업과 경쟁할 수 있는 정보력과 전파력을 가질 수 있도록 하는 해방적 사회적 기능을 수행하고 있다. 그런데 인터넷을 통해 타인의 정보를 매개하는 행위 모두를 “부가통신역무”이라고 정의하여 신고제 등의 진입규제를 가하는 것은 이와 같은 기능을 훼손한다.

또한 부가통신서비스는 계속 새로운 유형의 서비스가 생겨나고 서비스의 규모나 중요도도 다양하므로 일괄적인 진입규제는 혁신을 저해하게 되며 사실상 가능하지도 않다. 그렇기에 대부분의 IT 강국에서는 부가통신서비스를  진입규제 대상으로 삼고 있지 않다. 이렇게 비교법적으로도 유례가 드문 우리나라의 강력한 부가통신서비스 규제는 시급하게 해소가 필요한 단계인데 이를 강화하자는 목소리는 인터넷에 대한 몰이해를 반영한다.

 

근거 없는 부가통신역무 분류

변화무쌍한 부가통신서비스의 특성상 국가별로 그 정의가 매우 다르며, 국제적으로 합의된 분류체계도 존재하지 않는다. 그런데 개정안은 제안이유에서 “부가통신역무에 대한 규정이 미흡한 상황”이라고 하면서 “부가통신역무에 대한 새로운 법적 정의가 필요”하다며 부가통신역무를 다음과 같이 5가지로 분류했다.

개정안 제2조
12. “부가통신역무”란 기간통신역무 외에 다음 각 목의 어느 하나에 해당하는 전기통신역무를 말한다.
가. 인터넷 주소·정보 등의 검색과 전자우편·커뮤니티·디지털콘텐츠 등을 종합적으로 제공하는 전기통신역무
나. 음성·데이터·영상 등의 송신 또는 수신을 제공하는 전기통신역무
다. 통신기기를 작동 및 제어하는 장기운영체제를 제공하는 전기통신역무
라. 「전자상거래 등에서의 소비자보호에 관한 법률」제2조제4호에 따른 통신판매중개 중 통신기기를 이용하는 전기통신역무
마. 가목부터 라목까지에서 규정한 역무 외에 과학기술정보통신부장관이 정하여 고시한 전기통신역무

 

우선 “부가통신역무”를 “기간통신역무 외의 모든 전기통신역무”라는 네거티브 방식으로 정의하여 기간통신사업자 외에 전기통신역무를 제공하는 모든 사업자를 규제대상으로 삼던 것을 포지티브 방식으로 정의하려 한 것은 의미가 있다. 그러나, 실제 내용으로 들어가보면  “디지털콘텐츠 등을 제공” , “데이터. . 의 송신 또는 수신을 제공” 등의 폭넓은 문구들이 들어 있어 결국 현재의 온라인 서비스 업체 어느 곳도 배제되지 않아 개정의 의도가 불분명하다. 더 큰 문제는 과학기술정보통신부장관의 고시에 따라 신고제 대상 사업자가 결정되도록 해서 현재 “전기통신역무”의 정의도 불분명한 상태에서 행정기관의 자의적인 판단에 따라 대상 사업자들이 확대될 수 있다는 점이다.

 

특수한 유형의 부가통신사업자 확대

현행법상 스팸문자 규제를 위해 정의된 제2조 제13호 나목의 특수한 유형의 부가통신사업자는 등록이라는 더 강화된 진입규제 하에 있으며, 송신인의 전화번호가 변작 등 거짓으로 표시되는 것을 방지하기 위한 기술적 조치를 실시해야 하고, 요금신고를 하고 신고 내용을 공개해야 할 의무도 있다. 개정안에서는 서비스의 범위를 “문자메세지” 발송에서 “문자메시지·전자메일·팩스·문서” 발송으로 대폭 확대했는데, 문자메시지는 항시수신상태를 유지하고 있어야 되기 때문에 스팸문자메시지는 침입적 성격이 크지만 그렇지 않은 전자메일 서비스 등을 특별히 더 강하게 규제할 이유를 찾을 수가 없으며, 이렇게 규정되면 그 대상도 SNS, 메일시스템을 갖추고 있는 웹사이트 운영자 등 무한대로 넓어질 수 있다. 그리고 송신인의 “전화번호”가 아닌 “정보”에 관해 기술적 조치를 실시해야 하는데 전화번호와 달리 정보가 개인정보를 말하는 것인지 그 내용을 포함한 것인지, 정보 변작 방지를 위한 기술적 조치가 가능한지도 알 수 없다. 이런 유형의 서비스들은 대부분 무료로 제공되기 때문에 요금신고를 해야 할 타당성도 찾을 수 없다.

 

기간통신사업자와 부가통신사업자에 동일한 의무 부과

그리고 개정안은 기존에 기간통신사업자에게만 부과하던 일부 의무를 부가통신사업자에게 확대했다. 안 제29조의 요금 감면 조항과 제34조의 경쟁상황 평가 실시 조항이 그것이다. 내용의 당부를 떠나 기간통신사업자와 부가통신사업자는 전혀 다르기 때문에 동일하게 규제해서는 안 된다. 기간통신산업은 전통적으로 필수설비의 존재, 대규모 매몰비용과 규모의 경제로 인해 높은 진입장벽이 존재하며, 그렇기 때문에 통상 국영기업 또는 공기업의 형태로 운영되어 오다가 민영화의 과정을 거친 후 소수의 사기업이 참여하는 독과점적인 구조를 유지하는 자연독점사업의 특성을 지니고 있다. 반면에 부가통신산업은 무한대의 다양한 서비스 창출이 가능해 원칙적으로는 진입장벽이 낮고 경쟁적인 시장이다. 기간통신사업자에게 적용되는 ‘망중립성 원칙’과 유사하게 부가통신사업자에게는 ‘플랫폼 중립성’이나 ‘검색 중립성’ 원칙을 적용해야 한다는 논의가 있으나 지지를 받지 못하는 이유도 양 산업의 근본적 차이에 있는 것이다.

결론적으로 부가통신서비스에 대한 진입규제 또는 사전규제를 강화하고 기간통신사업자와 같이 강하게 규제하려는 이러한 시도는 인터넷 생태계에 독이 되며 갈라파고스적 규제로 역차별을 초래해 결국 국내 사업자들만 피해를 볼 뿐만 아니라, 인터넷을 통해 사람들을 연결해주고자 하는 사업자들을 위축시켜 이용자들의 표현의 자유를 저해하게 된다. 지금은 부가통신서비스 규제 강화가 아닌 완화가 필요한 시점이다.

 

2017년 12월 27일

사단법인 오픈넷

 

문의: 오픈넷 사무국 02-581-1643, [email protected]

 

수, 2017/12/27- 13:28
141
0

오픈넷, 특허법 개정안(송기헌의원 대표발의)에 대한

반대의견 제출

 

지난 2018년 5월 24일, 사단법인 오픈넷이 진보네트워크센터, 정보공유연대 IPLEFT, 오픈소스소프트웨어재단과 함께 컴퓨터 프로그램 특허권을 온라인 유통에까지 확대하여 자유/오픈소스 소프트웨어의 생태계를 위협하는 특허법 개정안(송기헌의원 대표발의)에 대한 반대의견서를 국회에 제출했습니다.

– 첨부. 특허법 일부개정법률안(송기헌의원 대표발의)에 대한 의견

문의: 오픈넷 사무국 02-581-1643, [email protected]

 

특허법 일부개정법률안(송기헌의원 대표발의)에 대한 의견

아래 서명한 단체는 귀 의원께서 2018. 5. 14. 대표발의한 특허법 개정안(송기헌의원 대표발의안, 의안번호: 13563, 이하 “개정안”이라 합니다)이 자유/오픈소스 소프트웨어의 생태계를 위협하는 법안으로 보고 아래와 같이 반대의견을 제출합니다.

1. 개정안은 자유/오픈소스 소프트웨어 생태계를 위협합니다.

자유/오픈소스 소프트웨어(FOSS: Free and Open Source Software)는 컴퓨터 프로그램을 수정하고 이를 배포할 자유를 근간으로 하고 있습니다. 여기서 ‘배포’는 컴퓨터 프로그램을 정보통신망을 통해 전송 또는 제공하는 행위를 포함합니다. 그런데 개정안은 컴퓨터 프로그램의 “온라인 전송” 행위를 특허권 침해행위로 규정하려고 합니다. 이렇게 되면 소스 코드를 공개하는 행위 자체가 특허권 침해가 되어 자유/오픈소스 소프트웨어 생태계는 무너지고 말 것입니다.

자유/오픈소스 소프트웨어는 가장 훌륭한 개방형 기술혁신 모델로 손꼽히고 있습니다. 개방형 기술혁신이 특허권에 기반한 폐쇄형 기술혁신보다 더 우수한 이유는 기술혁신이 순차적‧누적적 과정으로 일어나고 네트워크 효과가 존재하기 때문입니다. 특히 소프트웨어 분야의 기술혁신은 개방형 모델이 더 적합하다는 데에는 폭넓은 공감대가 형성되어 있습니다.

그런데 개정안처럼 컴퓨터 프로그램 특허권을 온라인 유통에까지 확대하면, FOSS의 가장 중요한 요소인 프로그램을 배포할 자유, 개량 프로그램을 재배포할 자유를 가로막는 독소 조항이 될 가능성이 높습니다. 따라서 개정안에 의해 소프트웨어 분야의 기술혁신을 특허법이 저해하는 어이없는 결과를 초래할 수 있습니다.

2. 오히려 소프트웨어 특허를 전면 재검토해야 합니다.

특허 제도는 일종의 시장 실패를 보정하기 위한 것입니다. 시장 독점을 통한 경제적 이익이 보장되지 않으면 기술 개발에 나서지 않는 시장 실패는, 그러나 자유/오픈소스 소프트웨어에서는 생기지 않습니다. 요컨대 소프트웨어 분야에서는 특허가 없더라도 기술 혁신이 가능하기 때문에 특허 보호가 필수적이지 않습니다.

오히려 특허 제도는 소프트웨어 기술 혁신에 장애가 될 수 있습니다. 저작권과 달리 특허권은 기술을 모방하지 않은 독자 개발까지 금지하는 절대적 독점권입니다. 특허 제도는 독자 개발자를 모방자와 동일하게 취급하기 때문입니다. 그래서 소프트웨어 개발자는 누구의 기술도 모방하지 않고 스스로 짠 프로그램 코드 때문에 특허 공격을 받을 수 있습니다.

이러한 특허 공격을 피하려면 개발자는 자신의 프로그램 코드에 대해 누가 특허권을 가지고 있는지 일일이 조사해야 하지만, 이는 현실적으로 불가능합니다. 따라서 개정안과 같이 소프트웨어 특허권을 강화하기보다는 소프트웨어 기술혁신에 장애가 되는 요소를 특허 제도에서 제거하는 입법조치를 고민해야 합니다.

3. 개정안은 실제로도 필요하지 않습니다.

개정안은 소프트웨어가 온라인으로 유통되는 현실을 현행 특허법이 반영하지 못하는 점을 문제로 보고 있습니다. 만약 이런 문제가 실제로 있었고 그것이 심각했다면, 특허청이 나서기 전에 소프트웨어 기업들이 들고 일어났을 것입니다.

그리고 1980년대부터 우리나라의 특허 보호를 문제 삼아 왔던 미국이 통상문제를 제기했을 것입니다. 그러나 소프트웨어 기업들이 소프트웨어의 온라인 유통과 특허 제도에 대해 문제를 제기한 적도 없고, 미국 역시 한미통상회담이나 FTA 논의 과정에서 안건으로 다루지 않았습니다.

4. “방법 사용의 청약” 행위는 적용 범위가 불분명합니다.

개정안은 특허청의 집요하고 무리한 요구로 국무조정실에서 마련한 부처간 합의안을 그대로 수용한 것인데, 소프트웨어 온라인 전송에 대응한다는 취지와 달리 방법 특허권의 효력 전체를 확대하여 “방법의 사용을 청약하는 행위”를 특허권 침해 행위로 규정하였습니다. 이렇게 되면, 소프트웨어와 무관한 모든 방법 발명에 대한 특허권이 확대되어 부처간 조정의 취지를 벗어나게 됩니다. 가령 의약품 원료 물질을 홍보하는 행위, 특허 기술과 관련된 제품을 전시하면서 카탈로그에 게재하는 행위까지 특허권 침해로 몰릴 수 있습니다.

또한 국무조정실 조정 과정에서 국무조정실은 소프트웨어 개발자의 의견은 청취하지도 않았고, 시민사회단체들의 면담도 거부하였습니다. 특허청은 국가지식재산위원회, 국무총리실을 통한 부처간 조정을 수년간 시도하였으나 조정이 되지 않다가, 문재인 정부가 들어선 후 국무조정실장이 특허청장으로 부임한 직후 부처간 조정이 이루어진 점은 국무조정실의 조정이 민주적인 과정으로 진행되었는지 의심하게 만듭니다.

5. 국제적 추세에도 반합니다.

유엔 산하의 지적재산 분야 전문기구인 세계지적재산권기구(WIPO)의 2010년 조사에 따르면, 컴퓨터 프로그램 그 자체를 공식적으로 특허 보호 대상에서 제외하는 정책이 점차 국제적 합의(consensus)를 형성해 가고 있다고 합니다. 실제로 2013년 독일 의회 의원들은 컴퓨터 프로그램은 저작권으로만 보호하고 특허 보호에서 제외해야 한다는 동의안을 발의한 바 있고, 뉴질랜드는 2013년 5월 특허법을 개정하여 컴퓨터 프로그램을 특허 보호대상에서 제외하였습니다.

미국 대법원도 2010년 Bilski 판결에서, 1998년에 최고점을 찍었던 소프트웨어 특허 강화에 종지부를 찍고, 소프트웨어 특허 보호 수준을 1970년대로 되돌려 놓았습니다. 이 Bilski 판결은 소위 ‘닷컴’ 열풍의 거품이 제거된 사회현상과, 기술혁신이 순차적이고 누적적인 과정을 통해 일어나는 소프트웨어 분야에서는 특허권 보호의 강화가 오히려 혁신에 장애가 된다는 사법부의 정책적 판단이라 할 수 있습니다. 이러한 태도는 2014년 3월 미국 대법원의 판결에서도 그대로 유지되었습니다.

유럽에서도 소프트웨어 특허를 유럽연합 차원에서 통일하려는 시도가 있었고, 유럽집행위원회가 지침 초안까지 마련하였지만, 오픈소스 진영의 강력한 반대 등에 부딪혀 2005년 유럽의회에서 압도적인 표차로 부결된 바 있으며, 유럽특허협약에서 “컴퓨터프로그램 그 자체”는 발명에서 제외한다는 규정을 삭제하려는 시도가 여러 번 있었지만 한 차례도 성공하지 못했습니다.

6. 결론

2012년 미국 연방준비은행의 보고서에 따르면, 특허 제도가 기술혁신이나 생산성 향상에 기여했다는 실증적 증거는 없는 반면, 특허 제도가 부정적인 결과를 초래했다는 증거는 많다고 합니다. 그리고 다른 분야와는 달리 유독 소프트웨어 분야에서는 발명자인 소프트웨어 개발자 스스로 특허 제도가 기술 개발에 도움이 되지 않는다고 주장합니다.

특허권의 보호가 없더라도 기술혁신을 일구어 왔던 소프트웨어 분야에서 개정안과 같은 특허 강화 정책은 재고되어야 합니다. 따라서 개정안을 철회하고 소프트웨어 특허의 문제점을 해소하는 새로운 입법 정책을 마련해 주시기 바랍니다.

2018년 5월 24일

사단법인 오픈넷, 진보네트워크센터, 정보공유연대 IPLEFT, 오픈소스소프트웨어재단

화, 2018/05/29- 15:11
189
0

시대에 역행하는 국내 서버 설치 의무 법안을 당장 철회하라!

모든 트래픽의 감시와 검열을 조장하는

변재일 의원의 정보통신망법 개정안에 반대한다

 

최근 더민주당 변재일 의원은 국내 서버 설치를 의무화하는 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’(이하 ‘정보통신망법’) 일부개정법률안을 대표발의했다. 본 개정안은 정보통신서비스 제공자 중 일정 기준에 해당하는 자에게 이용자가 정보통신서비스를 안정적으로 이용할 수 있도록 국내에 서버를 설치하는 등 기술적 조치를 할 의무를 지우고, 이를 위반할 경우 방송통신위원회가 해당 정보통신서비스 제공자에게 위반행위와 관련한 매출액의 100분의 3 이하에 해당하는 금액을 과징금으로 부과할 수 있도록 하고 있다. 이러한 국내 서버 설치 의무법은 결국 중국과 러시아 등에서 실시하고 있는 데이터 현지화 또는 국지화(data localization) 제도와 유사하면서도 더 광범위하고 세계적으로도 유례가 없는 ‘트래픽 현지화’ 제도를 창조하는 것으로 문제가 매우 심각하다.

변재일 의원은 제안이유로 “망 사용료 분담과 관련된 분쟁 과정에서, 글로벌 콘텐츠 사업자가 일방적으로 이용자의 콘텐츠에 대한 접속 경로를 변경하여 이용자들이 서비스 속도 저하 등 불편을 겪는 사례가 발생”한 바 있고, “이러한 상황이 심화될 경우 국내 사업자와 글로벌 사업자 간의 역차별 이슈가 지속적으로 제기될 가능성”이 높으므로 글로벌 콘텐츠 사업자에게 국내에 서버를 설치하게 해서 이용자에게 안정적인 서비스를 제공할 수 있도록 해야 한다고 주장하고 있다. 여기서 언급한 사례는 방송통신위원회가 지난 3월 과징금을 부과한 페이스북 접속 경로 임의변경 건인데, 그 대응책으로 페이스북, 구글, 넷플릭스 등과 같은 글로벌 CP(콘텐츠 사업자, Content Providers)들에게 무조건 국내에 서버를 설치하게 하자는 것이다.

그러나 국내에 서버를 설치해야만 이용자에게 안정적인 서비스를 제공할 수 있다는 주장은 근거가 없을 뿐만 아니라 우리나라에만 존재하는 갈라파고스적 규제로써 역차별 해소는커녕 오히려 국내 인터넷 기업들에게만 추가적 부담을 안겨 역차별을 초래할 수 있다. 그리고 무엇보다도 개정안의 더 큰 문제는 데이터 현지화의 도입이다. 데이터 현지화는 글로벌 IT 기업에게 개인정보의 보관·처리를 위한 서버를 반드시 자국 내에 설치하도록, 즉 데이터를 국내에 보관하도록 강제하는 것을 말한다. 데이터 현지화는 국경을 초월한 정보의 자유로운 이동이라는 인터넷의 본질을 정면으로 부정하는 것으로, 온라인에 디지털 장벽을 세워 자유와 개방의 인터넷을 조각내고 파편화시켜버린다. 이로 인해 인터넷 이용자들은 카카오톡 감청 사태 때처럼 현지 정부와 기업의 감시와 검열로부터 사이버 망명을 떠날 수 있는 자유를 빼앗기게 된다.

데이터 현지화는 아주 극소수의 공산주의 국가나 동남아의 일부 국가가 도입한 제도이다. 중국이 소위 만리방화벽(great firewall)이라는 인터넷상 국경을 유지하고 있던 유일한 국가였고, 2017년부터는 네트워크 안전법을 시행해 중국에서 수집된 개인정보를 현지 서버에 저장하도록 의무화하고 수사상 필요시 제공하도록 하고 있다. 그리고 러시아가 2015년부터 연방법에 의해 러시아 국민의 개인정보를 자국 내 데이터 베이스에 저장하도록 하고 있으며(그렇다고 국외 보관이 금지된 것은 아니다), 베트남과 인도네시아에서 콘텐츠 사업자들에게 제한적인 서버 설치 의무를 지우고 있는 정도이다. EU GDPR상의 개인정보의 역외 이전 제한도 일종의 데이터 현지화라고 하지만, 국내 서버 설치 의무와는 차원이 다르다.

그런데 앞서 언급했듯 본 개정안은 단순한 데이터 현지화에서 나아가 광범위한 트랙픽 현지화를 내정하고 있다. 다른 나라의 예에서 보듯 국가안보 등의 목적이나 자국민의 개인정보로 대상을 한정한 것이 아니라, 모든 서비스 제공을 위한 서버를 국내에 두라고 하고 있기 때문이다. 이에 따라 이용자의 개인정보뿐만 아니라 서비스 이용정보를 포함한 모든 정보가 국내 서버에 저장될 것이기 때문에 결국 국가에 의한 감시와 검열이 훨씬 쉬워지게 된다. 감시와 검열을 피해 한메일을 쓰다가 지메일로 옮기거나, 카카오톡을 쓰다가 텔레그램으로 이동할 이유가 없어지는 것이다.

부차적으로는 소비자들의 서비스 선택권에도 큰 영향을 미치게 된다. 한국에 서버를 둘 계획이나 능력이 없는 정보통신서비스 제공자의 경우에는 서비스를 아예 제공하지 않거나 한국 소비자 맞춤형 서비스를 제공하지 않을 것이기 때문이다. 또한 국내 사업자의 경우도 좀 더 값싼 해외 클라우드 컴퓨팅 서비스를 이용하지 못 하게 되고, 스타트업들은 울며 겨자 먹기로 세계적으로 가장 비싼 수준인 우리나라 ISP들의 서비스를 이용할 수밖에 없다. 이러한 제약들은 결국 IT 산업의 혁신 저해로 귀결될 것이다.

이렇게 4차 산업혁명 시대에 역행하는 국내 서버 설치 의무 법안을, 그것도 정보통신부 차관 출신이며 국회 과학기술정보방송통신위원회 소속 변재일 의원이 대표발의했다는 것은 해당 산업에 대한 몰이해와 전문성 부족을 여실히 드러낸다고 하겠다. 변재일 의원은 모든 트래픽의 감시와 검열을 조장하는 정보통신망법 개정안을 당장 철회하라!

2018년 9월 18일

사단법인 오픈넷

문의: 오픈넷 02-581-1643, [email protected]

 

화, 2018/09/18- 13:33
122
0

‘공인’인증서 독점 20년, 공인인증제도가 곧 폐지된다

글 |  박지환 변호사 (오픈넷 회원)

 

정부의 전자서명법 전부개정안 발의를 환영하며, 혁신적 서비스들이 시장에서 경쟁하는 계기가 되길 희망한다.

정부는 지난 2018. 9. 14. 전자서명법 전부개정법률안(이하 “개정안”)을 국회에 제출했다. 문재인 대통령이 공인인증서 제도 개선을 공약으로 천명하고 당선된 후 4차산업혁명위원회 제도개선 해커톤 등 지난한 과정을 거쳐 개정안이 도출된 것이다. 개정안의 제안이유에서도 명시되어 있듯 공인인증서는 도입 초기에 전자상거래 활성화 등 국가정보화에 기여했으나, 시장독점, 기술 및 서비스 혁신 저해, 선택권 제한 등의 심각한 문제점도 발생했다. 이에 개정안은 공인인증서 등 관련 제도(이하 ”공인인증제도”)를 폐지하여 민간의 다양한 전자서명수단들이 경쟁하는 환경을 조성하되, “전자서명인증업무 평가, 인정제도”를 통해 정부는 제한적으로 시장에 개입하도록 하고 이용자 보호을 위한 분쟁조정제도를 도입하는 등 전자서명의 본질적인 부분을 다루는 기본법의 성격을 띤다.

오픈넷은 2013년 개소 이후 공인인증서 사용을 강제하는 전자금융거래법령 개정 운동을 시작으로 최근 전자서명법 전면 개정을 위한 4차산업혁명위원회 해커톤에 참석하는 등 공인인증제도 개선을 위해 꾸준히 노력해왔다. 이번 정부의 전자서명법 개정안 발의를 환영하며 지금까지 공인인증제도 폐지를 위해 해왔던 활동을 회고해본다.

 

전자금융거래시 공인인증서 의무사용 폐지부터 공인인증서 폐지 법안 발의까지

(1) 2014년 1월 한국인터넷진흥원(KISA)의 웹트러스트 인증 – 소송의 힘

오픈넷은 공인인증서가 한국인터넷진흥원(KISA)의 보안 수준이 국제적 기준에 부합하는지 사실관계를 분명히 하기 위해 정보공개청구소송을 진행했다. 담당 부처인 미래창조과학부가 공인인증제도와 관련해 웹트러스트(Web Trust)와 유사한 형태의 보안감사를 해왔다고 밝혔으나 실제로 운영 실태에 대해서는 명확히 공개된 바가 없었다. 이에 오픈넷은 정보공개청구를 하고 관련 사실관계를 비공개처분한 당국을 상대로 정보공개거부처분 취소의 소를 제기하게 된 것이다.

치열한 법정 공방 중이었던 2014년 1월 한국인터넷진흥원이 실제로 웹트러스트 인증을 받기에 이른다. 오픈넷은 공익소송의 목표를 달성했다고 판단하고 소를 취하하면서 한국인터넷진흥원의 웹트러스트 인증을 환영했다. 다만 최근 과학기술정보통신부(구 미래창조과학부)는 해당 공익소송의 성격 등 여러 사정들을 고민하지 않고 소 취하에 따른 패소비용을 청구하여 무려 150여만원을 국고로 환수해갔다. 정부가 좋은 IT 정책을 만드는 데 사용할 것이라 믿어 의심치 않는다.

 

(2) 2014년 9월 ‘전자금융거래법’ 개정 – 공인인증서 의무사용 폐지로 혁신적 서비스 등장의 서막

오픈넷은 이종걸 의원실과 함께 사실상 공인인증서 사용을 강제해 온 전자금융거래법 개정에 전력했다. 법안 발의 이후 국회 통과를 위해 정책 세미나, 오픈넷 아카데미 등 다양한 방법을 활용하기도 했다. 의외로 개정 범위는 크지 않았다. 조문 하나 개정했을 뿐인데 시장의 반응은 뜨거웠다. 정부는 특정 기술이나 서비스를 강제하지 않고, 기술의 공정한 경쟁이 촉진되도록 노력하는 최소한의 역할을 맡아 이용자 보호라는 본연의 역할에 더욱 충실할 수 있게 된 것이다.

개정 전자금융거래법 제21조 제3항 : 금융위원회는 제2항의 기준을 정함에 있어서 특정 기술 또는 서비스의 사용을 강제하여서는 아니되며, 보안기술과 인증기술의 공정한 경쟁이 촉진되도록 노력하여야 한다.

한편 오픈넷은 매년 만우절에 전자금융거래법령 개정의 염원을 담아 아래와 같은 가상의 보도자료를 발송하기도 했다. 만우절 이벤트는 2014년 9월 전자금융거래법 개정안이 국회를 통과하고 나서야 비로소 중단됐다.

 

(3) 2017년 4월 국회의원과 정책협약체결 – 공인인증서 문제해결을 위해 이용자들의 의견 대변

전자금융거래법 개정 이후 남은 과제는 공인인증제도와 본인확인제도의 개선이었다. 오픈넷은 대선 국면을 맞이하여 작년 초 ‘공인인증서 문제해결을 위한 이용자모임’(이하 “이용자모임”)의 일원으로 공인인증제도 개선을 위해 국회와 힘을 합쳤다. 이용자모임에는  (사)시민이만드는생활정책연구원, (사)오픈넷, 로아팩토리, 보맵, 한국NFC, 한국핀테크산업협회, C2SOFT, SOPT 등이 참여했다. 이용자모임은 김관영, 김세연, 김영진, 홍의락 의원과 아래의 내용으로 정책협약을 체결하였으며, 추후 전자서명법 개정과 본인확인 규제 개선에 큰 역할을 해줄 것으로 기대한다.

<4차산업혁명시대 대비 공인인증서/본인확인 규제 개선을 위한 정책협약서>

  • 정부 주도의 경직된 인증수단 및 본인확인 규제 개선
  • 주민등록번호를 활용한 본인확인 관행의 폐지
  • 국제규범에 따른 전자계약 관련 법령 개정
  • 정책협의체 구성


‘공인’ 시대의 종언, 시장경쟁과 민간자율 영역의 확대는 숙제

정부가 제출한 전자서명법 개정안이 국회를 통과하면 그동안 한국 IT 정책을 상징하던 이른바 ‘공인’ 시대의 한 축이 공식적으로 막을 내린다. 오픈넷은 정부 주도의 IT 정책을 ‘새마을 운동’에 비유하기도 하했다. 정부의 자원과 능력이 민간의 그것을 압도하던 시대에는 정부가 IT 기술 정책의 큰 그림을 짜고 시장에 개입하는 것에 큰 문제가 없었을 것이다. 그러나 최근의 상황은 주지하다시피 이와 정반대이다. 이제 정부의 역할은 설계자가 아니라 점증하는 IT 서비스의 이용자 보호에 집중되어야 한다. 이번 전자서명법의 개정도 이와 맥이 닿아있다.

최근 한 인터넷기업의 카풀 서비스 진출을 두고 택시업계가 극명히 반발하는 것은 정부가 허가하고 관리하는 진입규제 패러다임의 균열을 방증한다. 전자금융거래법과 전자서명법 개정 역시 작은 균열에 지나지 않을지 모르나 전통적 규제 산업에 비해 그 가능성과 파괴력은 더 크다 하겠다. 오픈넷의 노력에 이어 이제 시장이 새로운 기술과 혁신으로 답할 차례다. 진입규제에 막혀 혁신적 서비스의 싹을 틔울 수 없다는 스타트업 업체들의 불만도 전자금융거래법과 전자서명법 개정 과정에서 그 해답의 단초를 찾았으면 한다. 공인인증제도 개선을 위해 반복하여 사용했던 홍보 문구를 인용하면서 글을 줄인다.

“좋은 기술은 강제할 필요가 없습니다.”

 

문의: 오픈넷 사무국 02-581-1643, [email protected]

 

목, 2018/10/25- 11:01
109
0

 공인’인증서 제도 폐지하는 정부의 전자서명법 전부개정안 발의를 환영한다

국회는 인증기술 혁신과 이용자 선택권 보장을 위해 전자서명법 개정안을 조속히 통과시켜야

 

정부는 지난 2018. 9. 14. 공인인증서 제도 폐지를 골자로 한 전자서명법 전부개정법률안(이하 “개정안)을 국회에 제출했다. 개정안은 문재인 대통령의 공약 중 하나인 ‘공인인증서 제도 개선’을 위해 4차산업혁명위원회가 제도 개선 해커톤 등의 과정을 거쳐 도출된 법안으로써, 위 해커톤에 참여했을 뿐만 아니라 지속적으로 공인인증서 제도 폐지 운동을 펼쳐온 오픈넷은 정부의 전자서명법 개정안 발의를 환영한다.

공인인증서 제도는 시장독점, 기술 및 서비스 혁신 저해, 이용자 선택권 제한 등의 문제로 IT 갈라파고스 정책이라는 비판을 받아왔다. 위 개정안은 공인인증서 등 관련 제도(이하 “공인인증제도”)를 폐지함으로써 △민간의 다양한 전자서명수단들이 차별 없이 경쟁하는 환경을 조성하고, △전자서명인증업무 평가·인정제도를 도입해 정부의 시장 개입을 제한하고, △분쟁조정제도를 도입하여 이용자를 보호하는 등의 내용을 담고 있다.

지난 19대 국회에서 오픈넷이 제안해 이종걸 의원이 발의했던 전자금융거래법 개정안이 2014년 9월 국회를 통과되고 모든 전자금융거래에서 공인인증서의 사용 강제가 금지됨으로써 현재 다양한 인증수단을 사용할 수 있게 되었다. 이번 정부가 제출한 전자서명법 개정안이 국회를 통과하면 인터넷 금융거래뿐만 아니라 전자서명인증이 필요한 모든 곳에서 공인인증서 의무 사용이 해제된다. 공인인증서 사용 자체가 금지되는 것이 아니라 정부가 부여한 독점적 지위가 사라지는 것이다. 이는 차별 없이 경쟁할 수 있는 환경, 다양한 인증수단을 선택할 수 있는 제도적 기반이 만들어진다는 것이며, 충돌하는 혁신과 규제 사이에서 해결점을 찾아가는 데에도 그 의미가 있다. 좋은 기술은 강제할 필요가 없다. 고루하고 불필요한 규제를 걷어내면 결국 더 안전하고 편리한 기술과 서비스가 선택받을 것이다.

1999년 전자서명법이 제정되며 탄생한 공인인증제도는 현재 다양한 인증기술의 발전에도 불구하고 약 20년간 불편한 상태로 존속하며 혁신과 다양성의 발목을 붙잡고 있다. 정부의 역할은 특정 기술이나 서비스를 강제하지 않고, 기술의 공정한 경쟁을 촉진할 수 있는 환경을 제공하고 이용자 보호에 힘쓰는 것이다. 정부가 본연의 역할을 다할 수 있도록 국회는 전자서명법 개정안을 조속히 통과시켜야 할 것이다.

2018년 10월 26일

사단법인 오픈넷

 

문의: 오픈넷 사무국 02-581-1643, [email protected]

 

[관련 글]

금, 2018/10/26- 11:03
70
0